Notional Finance bị tấn công 1.7 triệu USD do lỗi tràn số nguyên

Một kẻ tấn công đã rút khoảng 1.73 triệu USD từ hợp đồng ký quỹ cũ của Notional Finance vào sáng sớm thứ Sáu, lợi dụng một lỗ hổng mã nguồn khiến khoản nợ khổng lồ giả mạo được ghi nhận là bằng 0.

Số DAI và USDC bị đánh cắp đã được đổi thành khoảng 689 ETH. Các fund này sau đó được chuyển qua Tornado Cash – một dịch vụ giúp che giấu dấu vết giao dịch giữa các ví. Notional hiện vẫn chưa có thông báo công khai nào về vụ việc.

#CertiKInsight 🚨We have seen an ~$1.7M exploit on @NotionalFinance. https://t.co/luKD7RcbVAThe attacker used two mintfCashPair() calls to create a -2^128 liability, which was truncated to 0 by an unsafe uint128() downcast in free-collateral valuation.Stay Vigilant! pic.twitter.com/5T7E0XQfWJ

— CertiK Alert (@CertiKAlert) September 4, 2026

Cách thức cuộc tấn công vào Notional Finance diễn ra

Notional Finance là một giao thức cho vay lãi suất cố định trên Ethereum. Ở phiên bản đầu tiên, các khoản nghĩa vụ tiền mặt trong tương lai được ghi nhận bằng các token có tên là fCash. Hệ thống này sẽ kiểm tra tài sản thế chấp của người vay trước khi cho phép họ thêm khoản nợ mới.

Việc kiểm tra này đã chuyển đổi khoản nợ thành giá trị tương đương ETH thông qua một phép chuyển đổi uint128 thô. Khi thực hiện hai lần mint với tổng giá trị đúng bằng 2 mũ 128, phép chuyển đổi này lại đưa về giá trị 0 – đây chính là lỗ hổng mà QuillAudits phát hiện ra.

Nếu sử dụng phương pháp kiểm tra chuyển đổi chặt chẽ, hệ thống sẽ từ chối giá trị bất thường này thay vì im lặng bỏ qua các chữ số. Theo báo cáo, Notional cũng đã sử dụng phương thức an toàn này ở các đoạn mã khác trong cùng file.

Tài khoản của kẻ tấn công sau đó được ghi nhận là không còn nợ. Etherscan cho thấy các giao dịch thiết lập diễn ra lúc 23:58 UTC thứ Năm và việc rút tiền diễn ra chỉ 3 phút sau đó.

Giao dịch thứ hai đã rút ra 69,257 DAI cùng 1,658,524 USDC khỏi hợp đồng ký quỹ. Thủ phạm còn trả phí 0.07 ETH cho block builder Titan để đẩy giao dịch riêng tư.

Công ty bảo mật PeckShield đã chuyển tiếp cảnh báo từ hệ thống giám sát on-chain Specter. Hiện tại, hợp đồng ký quỹ này chỉ còn lại khoảng 60,600 USD dưới dạng các token còn sót lại.

#PeckShieldAlert Specter has reported that the Notional Finance escrow contract may have been exploited, resulting in $1.7M in ethereum:0x6b175474e89094c44da98b954eedeac495271d0f and $USDC lost. The exploiter has swapped the stolen funds into 689.2 $ETH and deposited them into… pic.twitter.com/Wd5Dc3MWtL

— PeckShieldAlert (@PeckShieldAlert) September 4, 2026

Hợp đồng V1 không hoạt động vẫn còn giữ tiền thật

Notional đã ngừng hoạt động phiên bản thứ ba sau khi vụ tấn công Balancer tháng 11/2025 lan sang các vault của mình. Tuy nhiên, các hợp đồng V1 vẫn còn hoạt động và chứa tiền, mà không ai kiểm tra hay thu hồi.

Những giao thức đã được kiểm toán độc lập vẫn chịu phần lớn tổn thất từ các vụ hack trong crypto, vì vậy việc đã được kiểm toán trước đó không đảm bảo an toàn ở trường hợp này. Tháng 06/2024 đã có một vụ việc tương tự, khi một hacker rút cạn các pool Solana cũ trên Raydium.

NOTE token của Notional hiện giao dịch ở mức khoảng 0.0065 USD, tăng 3.5% trong 24 giờ qua, với vốn hóa khoảng 400,700 USD.

Tại thời điểm viết bài, Notional vẫn chưa phát đi bất kỳ thông báo, số liệu thiệt hại hay báo cáo đánh giá nào. Hiện vẫn chưa rõ số tiền bị rút thuộc về người dùng, quỹ dự trữ hay một bên thứ ba.