Un attaquant a siphonné environ 1,73 million de dollars du contrat d’entiercement historique de Notional Finance tôt vendredi, en exploitant une faille de code qui a fait apparaître une dette fictive colossale comme étant nulle.
Les DAI et USDC volés ont été convertis en environ 689 ethers (ETH). Les fonds sont ensuite passés par Tornado Cash, un service qui brouille les pistes entre les portefeuilles. Notional n’a rien déclaré publiquement.
Comment l’exploit de Notional Finance a fonctionné
Notional Finance est un protocole de prêt à taux fixe sur Ethereum. Sa première version enregistrait les obligations financières futures sous forme de jetons appelés fCash. Le système vérifiait que les emprunteurs disposaient de garanties avant de les autoriser à contracter une dette.
Cette vérification convertissait la dette en équivalent ether au moyen d’une conversion brute en uint128. Deux émissions de jetons totalisaient exactement deux puissance 128. C’est la seule valeur que cette conversion ramène à zéro, a découvert QuillAudits.
Une conversion avec vérification aurait rejeté cette valeur au lieu d’en supprimer discrètement les chiffres. Selon le rapport, Notional a utilisé la méthode plus sûre ailleurs dans le même fichier.
Le compte apparaissait alors comme exempt de toute dette. Les données d’Etherscan indiquent que la mise en place a eu lieu jeudi à 23 h 58 UTC et le retrait trois minutes plus tard.
Cette deuxième transaction a transféré 69 257 DAI et 1 658 524 USDC hors du contrat d’entiercement. L’attaquant a également versé un pourboire de 0,07 ETH au constructeur de blocs Titan afin d’acheminer la transaction en privé.
La société de sécurité PeckShield a relayé une alerte du moniteur on-chain Specter. Le contrat d’entiercement contient désormais environ 60 600 dollars de jetons résiduels.
Les anciens contrats V1 inactifs détenaient encore de l’argent réel
Notional a mis fin à sa troisième version après que l’exploit de Balancer de novembre 2025 s’est propagé à ses coffres. Les contrats V1 sont restés actifs et approvisionnés, et personne ne les a vidés.
Les protocoles audités de manière indépendante représentent toujours la majorité des pertes liées aux piratages crypto ; un ancien audit n’a donc offert aucune protection dans ce cas. En juin, un incident très similaire s’est produit lorsqu’un attaquant a vidé les anciens pools Solana de Raydium.
Le jeton NOTE de Notional s’échange autour de 0,0065 $, en hausse de 3,5 % sur 24 heures, pour une capitalisation boursière proche de 400 700 $.
À la date de publication, Notional n’avait publié aucune déclaration, aucun chiffre sur les pertes ni aucun compte rendu post-mortem. Il n’est pas confirmé que les fonds dérobés appartenaient aux utilisateurs, à la trésorerie ou à un tiers.
Source : BeInCrypto
