Notional Finance verliert 1,73 Millionen Dollar durch Fehler im V1-Contract
Der Angriff traf einen alten Escrow-Contract auf Ethereum; die Beute wurde in ETH umgewandelt und über Tornado Cash verschoben. Der Vorfall unterstreicht das Risiko von Legacy-Smart-Contracts, auch nach früheren Audits.
Wichtigste Erkenntnisse
- Notional Finance verlor rund 1,73 Millionen Dollar durch einen Exploit in einem alten V1-Escrow-Contract.
- Ein Raw-uint128-Konvertierungsfehler ließ eine gefälschte Schuld als null registrieren, wodurch der Angreifer Geld abheben konnte.
- Die gestohlenen DAI und USDC wurden in etwa 689 ETH umgewandelt und anschließend über Tornado Cash verschoben.
Notional Finance ist am Freitag von einem Exploit betroffen worden, bei dem ein Angreifer rund 1,73 Millionen Dollar (1,5 Millionen Euro) aus einem alten Escrow-Contract abgezogen hat. Der Angriff drehte sich um einen Fehler im V1-Code, wodurch eine enorme gefälschte Schuld als null registriert wurde. Die gestohlenen DAI und USDC wurden danach in etwa 689 ETH umgewandelt und über Tornado Cash verschoben.
Fehler im alten Code
Notional Finance ist ein Fixed-Rate-Lending-Protokoll auf Ethereum. In der ersten Version arbeitete das System mit fCash, einer Methode, um zukünftige Cash-Verpflichtungen festzuhalten. Für zusätzliche Kredite prüfte das Protokoll zuerst, ob ein Nutzer genug Sicherheiten hatte.
Laut der Analyse von QuillAudits ging bei einer Raw-uint128-Konvertierung in dieser Prüfung etwas schief. Zwei Mint-Transaktionen kamen zusammen exakt auf 2 hoch 128, und das ist der Wert, der bei dieser Konvertierung auf null fällt. Dadurch wirkte das Konto plötzlich schuldenfrei, obwohl das in Wirklichkeit nicht so war. Eine sicherere Prüfung war in derselben Datei bereits an anderer Stelle verwendet worden.
Etherscan zeigt, dass der Angriff am Donnerstag um 23:58 UTC vorbereitet wurde und drei Minuten später die Abhebung folgte. Dabei wurden 69.257 DAI und 1.658.524 USDC aus dem Escrow abgezogen. Der Angreifer zahlte außerdem 0,07 ETH Trinkgeld an den Block Builder Titan, damit die Transaktion privat verarbeitet wurde.
Alter Contract hielt Geld fest
Auffällig ist, dass es sich um einen Legacy-Contract handelte, der weiterhin echten Wert hielt. Notional hatte seine dritte Version nach dem Balancer-Exploit vom November 2025 bereits zurückgefahren, aber die V1-Contracts blieben live und finanziert. Niemand hatte diese Mittel abgezogen.
Der Angriff passt in ein breiteres Muster, bei dem Fehler in Smart Contracts große Schäden verursachen können. Ein vergleichbarer Fall ereignete sich 2018 bei BeautyChain, wo ein Overflow-Bug zu einer massiven Token-Erstellung führte und der Wert des Tokens einbrach. Auch der Weg über Tornado Cash zeigt, wie schwierig es sein kann, gestohlene Krypto danach noch zu verfolgen.
Warum das relevant ist
Für europäische Krypto-Leser ist das vor allem relevant, weil es zeigt, dass alte Contracts ein dauerhaftes Risiko sein können, auch wenn ein Protokoll später bereits angepasst oder teilweise zurückgefahren wurde. Ein früheres Audit bietet dann nicht automatisch Schutz vor einem Fehler, der in einer älteren Version weiterhin vorhanden ist. Notional hatte zum Zeitpunkt der Veröffentlichung noch keine öffentliche Erklärung, keinen Loss-Report und kein Post-Mortem geteilt.
