تعرضت Notional Finance لهجوم بقيمة 1.7 مليون دولار بسبب خلل في تجاوز العدد الصحيح

استولى مهاجم على حوالي 1.73 مليون دولار من عقد الإسكرو القديم لـ Notional Finance في وقت مبكر من يوم الجمعة، مستغلاً ثغرة برمجية سمحت بتسجيل دين وهمي هائل على أنه صفر. تم تحويل DAI وUSDC المسروقين إلى ما يقرب من 689 إيثر (ETH). ثم مرت الأموال عبر Tornado Cash، وهي خدمة تفصل بين المحافظ لتعقيد تعقب العمليات. لم تصدر Notional أي تصريح علني.

كيف حدث اختراق Notional Finance

Notional Finance هو بروتوكول إقراض بسعر ثابت على Ethereum. سجل إصداره الأول الالتزامات النقدية المستقبلية كرموز يطلق عليها fCash. كان النظام يتحقق من وجود ضمانات لدى المقترضين قبل السماح لهم بإضافة دين. هذه العملية حولت قيمة الدين إلى وحدة إيثر من خلال تحويل uint128 الخام. مجموع عمليتي سك بلغ بالضبط اثنين مرفوعة للأس 128، وهي القيمة الوحيدة التي يقودها التحويل إلى الصفر، بحسب QuillAudits. التحويل الذي يخضع للفحص كان سيرفض الرقم بدلاً من تجاهله بصمت. ووفقاً للمصدر، استخدمت Notional الطريقة الأكثر أماناً في مكان آخر من نفس الملف. ثم كانت قراءة الحساب تظهر خالية من الديون. سجلات Etherscan أظهرت أن الإعداد تم في الساعة 11:58 مساءً بتوقيت UTC يوم الخميس، وتم السحب بعد ذلك بثلاث دقائق. نقلت تلك المعاملة الثانية 69,257 DAI و1,658,524 USDC من الإسكرو. كما قدم المهاجم مكافأة لمنشئ الكتلة Titan بقيمة 0.07 ETH ليسلك الطريق بشكل خاص. شركة الأمن PeckShield أبلغت عن تحذير من مراقب السلسلة Specter. حالياً، يحتفظ الإسكرو بحوالي 60,600 دولار من الرموز المتبقية.

عقود V1 الخاملة ما تزال تحتفظ بأموال حقيقية

أوقفت Notional الإصدار الثالث بعد أن أدى اختراق Balancer في نوفمبر 2025 إلى تداعيات على خزائنها. بقيت عقود V1 نشطة وممولة، ولم يقم أحد بسحبها. لا تزال البروتوكولات التي خضعت لتدقيق مستقل تشكل معظم خسائر الاختراق في سوق العملات الرقمية، لذلك فالمراجعات القديمة لم توفر الحماية هنا. في يونيو، حدثت واقعة مشابهة عندما تم سحب أموال من مجمعات Solana القديمة لدى Raydium. يتم تداول رمز NOTE الخاص بـ Notional بالقرب من 0.0065 دولار، مرتفعاً بنسبة 3.5% خلال 24 ساعة، بقيمة سوقية تقارب 400,700 دولار. أداء سعر Notional Finance (NOTE). لم تصدر Notional أي بيان أو توضح حجم الخسائر أو تقرير حول الحادث وقت النشر. ولم يتأكد بعد ما إذا كانت الأموال المسحوبة تعود للمستخدمين أو الخزينة أو جهة أخرى.