Ein Angreifer hat am frühen Freitag etwa 1,73 Millionen USD aus dem älteren Escrow-Vertrag von Notional Finance abgezogen. Dazu nutzte er einen Programmierfehler, durch den eine sehr große, erfundene Schuld mit null registriert wurde.
Die gestohlenen DAI und USDC wurden in etwa 689 Ether (ETH) getauscht. Das Geld ging dann durch Tornado Cash, einen Dienst, der die Spur zwischen Wallets verdeckt. Notional hat bisher keine öffentliche Stellungnahme abgegeben.
So funktionierte der Angriff auf Notional Finance
Notional Finance ist ein Kreditprotokoll mit festem Zinssatz auf Ethereum. Die erste Version zeichnete zukünftige Zahlungsforderungen als Token mit dem Namen fCash auf. Das System prüfte, ob Kreditnehmer Sicherheiten hinterlegt hatten, bevor es erlaubte, Schulden aufzunehmen.
Diese Prüfung wandelte die Schulden in Ether um, indem eine einfache uint128-Umrechnung erfolgte. Zwei Ausgaben wurden so summiert, dass sie genau zwei hoch 128 ergaben. Das ist der eine Wert, bei dem die Umrechnung null ergibt, wie QuillAudits feststellte.
Eine sichere Umrechnung hätte diesen Wert abgelehnt, statt einfach die Ziffern zu löschen. Notional nutzte die sicherere Methode an anderer Stelle in derselben Datei, so der Bericht.
Dadurch erschien das Konto schuldenfrei. Etherscan zeigt, dass der Angriff am Donnerstag um 23:58 Uhr UTC vorbereitet wurde. Der Abzug geschah drei Minuten später.
Bei dieser zweiten Transaktion wurden 69.257 DAI und 1.658.524 USDC aus dem Escrow abgezogen. Der Angreifer zahlte außerdem 0,07 ETH an den Block-Builder Titan, damit dieser den Handel privat weiterleitete.
Die Sicherheitsfirma PeckShield gab eine Warnung weiter, welche der On-Chain-Monitor Specter veröffentlichte. Im Escrow liegen jetzt noch Token im Wert von etwa 60.600 USD.
Ruhende V1-Verträge hielten weiterhin echtes Geld
Notional beendete die dritte Version nach dem Balancer-Angriff im November 2025, der sich auf die eigenen Tresore auswirkte. Die V1-Verträge blieben aktiv und finanziert, niemand räumte sie leer.
Selbst unabhängig geprüfte Protokolle verursachen den Großteil der Krypto-Hackverluste. Eine ältere Prüfung bot daher keinen Schutz. Im Juni gab es einen ähnlichen Fall, bei dem ein Angreifer alte Solana-Pools bei Raydium leerte.
Der NOTE-Token von Notional notiert bei etwa 0,0065 USD, was ein Plus von 3,5% in 24 Stunden bedeutet, bei einer Marktkapitalisierung von rund 400.700 USD.
Notional hat bisher keine Stellungnahme, Verlustangabe oder Fehleranalyse veröffentlicht. Es steht noch nicht fest, ob das abgezogene Geld Nutzern, der Treasury oder einer dritten Partei gehörte.
