पूर्णांक ओवरफ्लो बग के कारण Notional Finance पर 17 लाख डॉलर का हमला

शुक्रवार तड़के एक हमलावर ने Notional Finance के पुराने एस्क्रो कॉन्ट्रैक्ट से लगभग 1.73 मिलियन डॉलर निकाल लिए। उसने कोडिंग की एक खामी का फायदा उठाया, जिसके चलते बहुत बड़ा मनगढ़ंत कर्ज़ शून्य के रूप में दर्ज हो गया।

चुराए गए DAI और USDC को लगभग 689 ईथर (ETH) में बदल दिया गया। इसके बाद धन Tornado Cash के ज़रिए भेजा गया—यह एक ऐसी सेवा है जो वॉलेट के बीच लेन-देन का पता मिटा देती है। Notional ने सार्वजनिक रूप से अब तक कुछ नहीं कहा है।

Notional Finance हैक कैसे हुआ

Notional Finance, Ethereum पर एक निश्चित-ब्याज दर वाला लेंडिंग प्रोटोकॉल है। इसके पहले संस्करण में भविष्य के नकद भुगतान दायित्वों को fCash नाम के टोकन के रूप में दर्ज किया जाता था। उधारकर्ताओं को कर्ज़ जोड़ने देने से पहले सिस्टम उनकी संपार्श्विक राशि की जाँच करता था।

इस जाँच में कर्ज़ को एक raw uint128 रूपांतरण के ज़रिए ईथर के मूल्य में बदला गया। दो मिंट की गई राशियों का योग ठीक 2 की घात 128 था। QuillAudits ने पाया कि यही एक ऐसा मान है जिसे यह रूपांतरण घटाकर शून्य कर देता है।

एक जाँच-सहित रूपांतरण इस आँकड़े को चुपचाप उसके अंक हटाने के बजाय अस्वीकार कर देता। रिपोर्ट के मुताबिक, उसी फ़ाइल में Notional ने दूसरी जगह अधिक सुरक्षित तरीका इस्तेमाल किया था।

इसके बाद खाते में कोई कर्ज़ नहीं दिखा। Etherscan के रिकॉर्ड के मुताबिक, यह सेटअप गुरुवार को UTC के अनुसार रात 11:58 बजे हुआ और तीन मिनट बाद निकासी की गई।

दूसरे लेन-देन में एस्क्रो से 69,257 DAI और 1,658,524 USDC निकाले गए। हमलावर ने लेन-देन को निजी तौर पर रूट कराने के लिए ब्लॉक बिल्डर Titan को 0.07 ETH की टिप भी दी।

साइबर सुरक्षा फर्म PeckShield ने ऑन-चेन मॉनिटर Specter की चेतावनी साझा की। एस्क्रो में अब लगभग 60,600 डॉलर के बचे हुए टोकन हैं।

निष्क्रिय V1 कॉन्ट्रैक्ट में अब भी असली पैसा था

नवंबर 2025 में Balancer पर हुए शोषण का असर उसके वॉल्ट्स तक पहुँचने के बाद Notional ने अपना तीसरा संस्करण बंद कर दिया। V1 कॉन्ट्रैक्ट सक्रिय और फंडेड बने रहे, लेकिन किसी ने उनसे धन नहीं निकाला।

स्वतंत्र रूप से ऑडिट किए गए प्रोटोकॉल अब भी क्रिप्टो हैक से हुए अधिकांश नुकसान के लिए ज़िम्मेदार हैं, इसलिए पुरानी समीक्षा से यहाँ कोई सुरक्षा नहीं मिली। जून में भी इससे मिलता-जुलता मामला सामने आया, जब एक हमलावर ने Raydium के पुराने Solana पूल से धन निकाल लिया।

Notional का NOTE टोकन लगभग $0.0065 पर कारोबार कर रहा है, जो 24 घंटों में 3.5% ऊपर है। इसका बाज़ार मूल्य लगभग $400,700 है।

प्रकाशन के समय तक Notional ने कोई बयान, नुकसान का आँकड़ा या घटना के बाद की रिपोर्ट जारी नहीं की थी। यह पुष्टि नहीं हुई है कि निकाली गई नकदी उपयोगकर्ताओं, ट्रेज़री या किसी तीसरे पक्ष की थी।

स्रोत: BeInCrypto