Eksploitasi Notional Finance Kuras Dana US$1,73 Juta
Ruangojol.com - Jakarta, seorang penyerang menguras sekitar US$1,73 juta dari kontrak escrow lama Notional Finance pada Jumat pagi. Eksploitasi Notional Finance itu memanfaatkan celah kode yang membuat utang palsu dalam jumlah besar tercatat sebagai nol.
Penyerang mengambil 69.257 DAI dan 1.658.524 USDC dari escrow. Dana tersebut kemudian ditukar menjadi sekitar 689 ether atau ETH, sebelum sebagian alirannya melewati Tornado Cash.
Notional Finance belum memberikan pernyataan publik hingga waktu publikasi. Karena itu, belum dapat dipastikan apakah dana yang dicuri berasal dari pengguna, treasury, atau pihak ketiga.
Bagaimana Eksploitasi Notional Finance Terjadi
Notional Finance merupakan protokol peminjaman berbunga tetap di jaringan Ethereum. Versi pertamanya mencatat kewajiban kas pada masa depan menggunakan token bernama fCash.
Dalam sistem tersebut, peminjam harus memenuhi pemeriksaan jaminan sebelum menambah utang. Proses pemeriksaan kemudian mengubah nilai utang ke dalam satuan ether melalui konversi uint128 mentah.
Menurut penjelasan QuillAudits, dua kali pencetakan token dijumlahkan hingga menghasilkan tepat dua pangkat 128. Nilai tersebut menjadi satu-satunya angka yang membuat hasil konversi berubah menjadi nol.
Konversi dengan pemeriksaan seharusnya menolak angka tersebut. Namun, celah itu justru menghilangkan digit-digitnya sehingga akun penyerang terbaca seolah-olah tidak memiliki utang.
Catatan di Etherscan menunjukkan pengaturan tersebut berlangsung pada pukul 23:58 UTC hari Kamis. Penarikan dana terjadi sekitar tiga menit kemudian.
Penarikan DAI dan USDC dari Escrow
Transaksi kedua memindahkan 69.257 DAI dan 1.658.524 USDC keluar dari kontrak escrow. Nilai keseluruhan aset yang terkuras mencapai sekitar US$1,73 juta.
Penyerang juga memberikan tip sebesar 0,07 ETH kepada pembangun blok Titan. Tip tersebut memungkinkan transaksi dilakukan secara privat.
Dengan transaksi privat, detail perpindahan dana dapat dikirim melalui jalur yang tidak langsung terlihat dalam proses publik sebelum masuk ke blok. Namun, catatan transaksi di blockchain tetap dapat digunakan untuk menelusuri pergerakan aset setelahnya.
DAI dan USDC yang dicuri kemudian diubah menjadi sekitar 689 ETH. Dana tersebut selanjutnya melewati Tornado Cash, layanan yang dirancang untuk memutus hubungan langsung antarwallet.
PeckShield menyampaikan peringatan setelah pemantauan on-chain Specter mendeteksi aktivitas tersebut. Setelah penarikan, escrow itu hanya menyisakan sekitar US$60.600 dalam bentuk token.
Kontrak V1 Masih Menyimpan Dana
Notional sebelumnya menghentikan versi ketiganya setelah eksploitasi Balancer pada November 2025 berdampak pada isi vault mereka. Namun, kontrak V1 tetap aktif dan masih menyimpan dana.
Belum ada pihak yang membersihkan sisa saldo di kontrak tersebut. Kondisi itu membuat escrow lama tetap menjadi sasaran meskipun versi protokol lain sudah dihentikan.
Peristiwa ini juga memperlihatkan risiko yang masih melekat pada kontrak lama. Kontrak yang tidak lagi menjadi fokus utama tetap dapat menyimpan aset nyata dan menjalankan fungsi tertentu di blockchain.
Audit independen tidak selalu menghilangkan seluruh risiko keamanan. Protokol yang pernah diaudit tetap dapat mengalami kerugian akibat celah yang luput dari pemeriksaan atau muncul dari kondisi penggunaan tertentu.
Pada Juni sebelumnya, serangan serupa juga terjadi ketika seseorang menguras liquidity pool lama Solana di Raydium. Peristiwa tersebut menunjukkan bahwa saldo pada kontrak lama tetap membutuhkan pemantauan.
Status Token NOTE dan Tindak Lanjut
Token NOTE milik Notional diperdagangkan di kisaran US$0,0065. Nilainya tercatat naik 3,5 persen dalam 24 jam terakhir, dengan kapitalisasi pasar mendekati US$400.700.
Pergerakan token tersebut belum menjelaskan dampak akhir eksploitasi terhadap pemegang aset. Selain itu, belum ada keterangan resmi mengenai rencana penanganan kontrak escrow atau pemulihan dana.
Notional juga belum menyampaikan angka kerugian secara resmi maupun laporan pascakejadian. Oleh karena itu, nilai sekitar US$1,73 juta masih merujuk pada pemantauan transaksi dan aset yang terlihat berpindah dari escrow.
Status kepemilikan dana yang terkuras juga masih belum jelas. Pengguna, treasury, atau pihak ketiga dapat memiliki kepentingan terhadap aset tersebut, tetapi belum ada konfirmasi publik untuk menentukan pihak yang terdampak.
Untuk sementara, perhatian tertuju pada pergerakan sekitar 689 ETH, sisa saldo escrow, serta pernyataan resmi Notional Finance. Informasi tersebut akan menentukan gambaran yang lebih lengkap mengenai cakupan eksploitasi Notional Finance.
Kesimpulan
Eksploitasi Notional Finance memanfaatkan kesalahan konversi nilai utang pada kontrak escrow lama. Celah itu membuat utang palsu terbaca sebagai nol dan memungkinkan penyerang menarik DAI serta USDC.
Dana kemudian ditukar menjadi ether dan melewati Tornado Cash. Sampai Notional memberikan penjelasan resmi, pihak yang menanggung kerugian dan langkah pemulihan dana masih belum dapat dipastikan.