Um invasor drenou cerca de US$ 1,73 milhão do contrato de escrow legado da Notional Finance no início da manhã de sexta-feira, explorando uma falha de código que fez uma dívida fabricada gigantesca ser registrada como zero.
Os DAI e USDC roubados foram convertidos em cerca de 689 ether (ETH). Em seguida, os fundos passaram pelo Tornado Cash, um serviço que rompe o vínculo entre carteiras. A Notional não se pronunciou publicamente.
Como funcionou o exploit da Notional Finance
A Notional Finance é um protocolo de empréstimos com taxa fixa na Ethereum. Sua primeira versão registrava obrigações futuras de pagamento como tokens chamados fCash. O sistema verificava as garantias dos tomadores antes de permitir que assumissem dívidas.
Essa verificação convertia a dívida em termos de ether por meio de uma conversão bruta para uint128. Duas emissões somavam exatamente dois elevado à potência de 128. Esse é o único valor que a conversão reduz a zero, concluiu a QuillAudits.
Uma conversão com verificação teria rejeitado o valor, em vez de descartar silenciosamente seus dígitos. Segundo o relatório, a Notional usou o método mais seguro em outras partes do mesmo arquivo.
A conta passou então a constar como livre de dívidas. Registros do Etherscan mostram que a preparação foi concluída às 23h58 UTC de quinta-feira, e o saque ocorreu três minutos depois.
Essa segunda transação retirou 69.257 DAI e 1.658.524 USDC do escrow. O invasor também deu uma gorjeta de 0,07 ETH ao construtor de blocos Titan para encaminhar a operação de forma privada.
A empresa de segurança PeckShield retransmitiu um alerta do monitor on-chain Specter. Agora, o escrow mantém cerca de US$ 60.600 em tokens remanescentes.
Contratos V1 inativos ainda guardavam dinheiro de verdade
A Notional encerrou sua terceira versão depois que o exploit da Balancer, em novembro de 2025, se propagou para seus cofres. Os contratos da V1 continuaram ativos e com fundos, e ninguém os drenou.
Protocolos auditados de forma independente ainda respondem pela maior parte das perdas causadas por ataques a criptoativos, então uma auditoria antiga não ofereceu proteção neste caso. Em junho, houve um caso muito semelhante, quando um invasor drenou pools legados da Solana na Raydium.
O token NOTE da Notional é negociado perto de US$ 0,0065, em alta de 3,5% nas últimas 24 horas, com valor de mercado próximo de US$ 400.700.
Até a publicação, a Notional não havia divulgado nenhum comunicado, estimativa de perdas ou análise pós-incidente. Não foi confirmado se o dinheiro drenado pertencia a usuários, ao tesouro ou a terceiros.
Fonte: BeInCrypto
