Ethereum üzerinde sabit faizli kredi protokolü olarak faaliyet gösteren Notional Finance’in eski bir emanet sözleşmesinden, Cuma sabahı yaklaşık 1,73 milyon dolar değerinde varlık çekildi. Saldırgan, kodda yer alan bir açığı kullanarak, sıfır olarak kaydedilen sahte ve devasa bir borç oluşturdu.
Çalınan DAI ve USDC, yaklaşık 689 Ethereum’a (ETH) dönüştürüldü. Fonlar, cüzdanlar arasındaki izleri gizleyen Tornado Cash üzerinden aktarıldı. Notional Finance, olayla ilgili kamuoyuna herhangi bir açıklama yapmadı.
Siber güvenlik firması CertiK’in zincir üstü analizine göre, saldırgan iki mintfCashPair() çağrısı ile -2^128’lik bir borç oluşturdu. Bu borç, free-collateral değerlemesinde güvensiz bir uint128() dönüşümü nedeniyle sıfıra indirildi. Güvenli bir dönüşüm yöntemi kullanılsaydı, bu işlem reddedilecekti. Aynı dosyada Notional’ın başka bir yerde daha güvenli bir yöntemi tercih ettiği belirtiliyor.
Bu işlem sonucunda ilgili hesap borçsuz olarak göründü. Etherscan kayıtlarına göre, kurulum Perşembe günü saat 23:58 UTC’de tamamlandı ve üç dakika sonra çekim işlemi gerçekleşti.
İkinci işlemde, emanetten 69.257 DAI ve 1.658.524 USDC çıkarıldı. Saldırgan ayrıca işlemin gizli şekilde yönlendirilmesi için blok üreticisi Titan’a 0,07 ETH bahşiş verdi.
PeckShield’in aktardığına göre, zincir üstü izleme platformu Specter, Notional Finance’in emanet sözleşmesinin istismar edildiğini ve yaklaşık 1,7 milyon dolarlık kayıp yaşandığını bildirdi. Saldırgan, çalınan fonları 689,2 ETH’ye dönüştürdü ve başka bir adrese aktardı. Emanet sözleşmesinde şu anda yaklaşık 60.600 dolar değerinde token kaldı.
Eski Sözleşmelerdeki Fonlar Korunmasız Kaldı
Notional Finance, Kasım 2025’te Balancer protokolünde yaşanan saldırının ardından üçüncü sürümünü kapattı. Ancak V1 sözleşmeleri aktif ve fonlu şekilde bırakıldı, kimse bu varlıkları çekmedi.
Bağımsız denetimlerden geçmiş protokoller, kripto hack’lerinde yaşanan kayıpların büyük kısmını oluşturmaya devam ediyor. Bu nedenle, eski bir denetim burada koruma sağlamadı. Haziran ayında Raydium’da eski Solana havuzlarının boşaltılması benzer bir örnek olarak öne çıkmıştı.
Notional’ın NOTE token’ı, yaklaşık %3,5 artışla 0,0065 dolar seviyesinde işlem görüyor. Piyasa değeri ise yaklaşık 400.700 dolar.
Notional Finance, haberin yayına hazırlandığı ana kadar herhangi bir açıklama, kayıp tutarı veya olay sonrası rapor paylaşmadı. Çekilen fonların kullanıcılar, hazine veya üçüncü bir tarafa ait olup olmadığı ise henüz doğrulanmadı.
Bu içerik hazırlanırken faydalanılan kaynaklar: cryptorank.io
