Notional Finance sufre un exploit de 1,7 millones de dólares por un fallo de desbordamiento de enteros
Un atacante sustrajo aproximadamente 1,73 millones de dólares del contrato de depósito en garantía heredado de Notional Finance a primera hora del viernes, aprovechando un fallo de código que hacía que una deuda enorme, inventada, se registrara como cero.
Los DAI y USDC robados se convirtieron en unos 689 ether (ETH). Después, los fondos pasaron por Tornado Cash, un servicio que rompe el rastro entre billeteras. Notional no ha hecho ninguna declaración pública.
Cómo funcionó el exploit de Notional Finance
Notional Finance es un protocolo de préstamos a tasa fija en Ethereum. Su primera versión registraba las obligaciones de pago futuras como tokens llamados fCash. Antes de permitirles contraer más deuda, el sistema comprobaba que los prestatarios tuvieran garantías.
Esa comprobación convertía la deuda a términos de ether mediante una conversión directa a uint128. Dos acuñaciones sumaron exactamente dos elevado a la potencia de 128. Según descubrió QuillAudits, ese es el único valor que la conversión reduce a cero.
Una conversión con comprobación habría rechazado la cifra en vez de descartar silenciosamente sus dígitos. Según el informe, Notional usó el método más seguro en otras partes del mismo archivo.
La cuenta pasó entonces a figurar sin deudas. Los registros de Etherscan muestran que la preparación se completó a las 11:58 p. m. UTC del jueves y que el retiro se realizó tres minutos después.
Esa segunda transacción sacó del depósito en garantía 69.257 DAI y 1.658.524 USDC. El atacante también dio una propina de 0,07 ETH al constructor de bloques Titan para enrutar la operación de forma privada.
La empresa de seguridad PeckShield difundió una alerta del monitor on-chain Specter. El depósito en garantía aún contiene tokens residuales por valor de unos 60.600 dólares.
Los contratos inactivos de la V1 aún conservaban fondos reales
Notional cerró su tercera versión después de que el exploit de Balancer de noviembre de 2025 se propagara a sus bóvedas. Los contratos de V1 siguieron activos y con fondos, y nadie los vació.
Los protocolos auditados de forma independiente siguen representando la mayoría de las pérdidas por hackeos de criptomonedas, así que una revisión anterior no sirvió de protección en este caso. En junio ocurrió un caso muy similar, cuando un atacante vació pools heredados de Solana en Raydium.
El token NOTE de Notional cotiza cerca de los 0,0065 $, con una subida del 3,5 % en 24 horas y una capitalización de mercado cercana a los 400.700 $.
Al momento de la publicación, Notional no había emitido ningún comunicado, cifra de pérdidas ni análisis posterior al incidente. No se ha confirmado si el dinero sustraído pertenecía a usuarios, a la tesorería o a un tercero.
Fuente: BeInCrypto