Notional Finance потеряла $1.7M из-за бага переполнения целого числа в устаревшем V1
Notional Finance понесла убыток в $1.73 миллиона после того, как злоумышленник использовал ошибку приведения типов в её устаревшем контракте V1 для обнуления обязательств. Атакующий конвертировал похищенные стейблкоины в 689 ETH и провёл их через Tornado Cash. Инцидент подчёркивает системный риск в неподдерживаемых, активных смарт-контрактах старых протоколов DeFi.
Злоумышленник атаковал неактивный эскроу-контракт V1 Notional Finance, похитив примерно $1.73 миллиона в стейблкоинах через точный баг переполнения целого числа. Выполняя специально подобранные вызовы минтинга, эксплойтер создал огромную долговую позицию, которая была усечена до нуля при прохождении через небезопасную функцию приведения типов в модуле оценки залога. Как только протокол неверно рассчитал общие обязательства как ноль, счёт был помечен как полностью платёжеспособный. Затем злоумышленник вывел более 1.65 миллиона USDC и 69,000 DAI, не предоставив реального залога, быстро конвертировав выручку в 689 Ether и направив её через частные строители блоков и Tornado Cash, чтобы нарушить отслеживание в сети. Эта кража подчёркивает постоянную операционную опасность неконтролируемых смарт-контрактов в экосистеме Ethereum. Хотя Notional отошла от старых версий после предыдущих рыночных потрясений, активный эскроу V1 сохранял неконтролируемый капитал, доказывая, что вывод протоколов из эксплуатации требует абсолютного устаревания кода, а не пассивного отказа.