Notional Finance Drenado por $1.7M en Bug de Desbordamiento de Enteros de V1 Legado
Notional Finance sufrió un drenaje de $1.73 millones después de que un atacante explotara una falla de conversión de tipo numérico en su contrato V1 legado para restablecer las obligaciones a cero. El atacante convirtió las stablecoins desviadas en 689 ETH y las pasó por Tornado Cash. El incidente resalta el riesgo sistémico en contratos inteligentes activos y sin mantenimiento en protocolos DeFi antiguos.
Un atacante apuntó al contrato de custodia V1 inactivo de Notional Finance, drenando aproximadamente $1.73 millones en stablecoins a través de un preciso bug de desbordamiento de enteros. Al ejecutar llamadas de acuñación personalizadas, el explotador creó una posición de deuda masiva que se truncó a cero al pasar por una función de conversión de tipo insegura en el módulo de valoración de garantías. Una vez que el protocolo calculó incorrectamente las obligaciones totales como cero, la cuenta fue marcada como totalmente solvente. El atacante luego retiró más de 1.65 millones de USDC y 69,000 DAI sin proporcionar garantía real, convirtiendo rápidamente las ganancias en 689 Ether y dirigiéndolas a través de constructores de bloques privados y Tornado Cash para romper el seguimiento en cadena. Este drenaje subraya el persistente peligro operativo de los contratos inteligentes no monitoreados en el panorama de Ethereum. Aunque Notional se había alejado de versiones anteriores después de un estrés de mercado previo, el contrato de custodia V1 activo retuvo capital no monitoreado, demostrando que la eliminación gradual de protocolos requiere una deprecación absoluta del código en lugar de un abandono pasivo.