Ein Escrow-Vertrag von Notional Finance wurde offenbar für etwa 1,7 Mio. USD ausgenutzt; die gestohlenen Stablecoins wurden innerhalb weniger Stunden nach dem Abzug in Ether getauscht und bei Tornado Cash eingezahlt.

Die betroffenen Vermögenswerte umfassten rund 69.242 DAI und 1,658 Mio. USDC, wodurch der Gesamtverlust knapp 1,73 Mio. USD beträgt. Zwei mit dem Diebstahl in Verbindung gebrachte Adressen wurden als 0xC954...De69 und 0xDaCC...Ce38 identifiziert.

Stablecoins in 689 ETH umgetauscht

Die gestohlenen DAI und USDC wurden konsolidiert und in rund 689 ETH umgetauscht, bevor die Gelder in Tornado Cash verschoben wurden.

Notionals Escrow-Architektur verwaltet zentrale Protokollfunktionen, darunter Einzahlungen, Auszahlungen, Kontostände, für den Handel genutzte Sicherheiten, Abwicklung und Liquidationen. Da ein solcher Vertrag im Zentrum der Verwahrung von Nutzervermögen steht und nicht am Rand des Protokolls, kann die Kompromittierung seiner Autorisierungspfade Gelder über all diese Funktionen hinweg gleichzeitig gefährden. Onchain-Beweise identifizieren einen Escrow-Vertrag als Quelle der abgezogenen Vermögenswerte, doch die technische Ursache wurde noch nicht ermittelt; unklar bleibt daher, welche Funktion oder welcher Autorisierungspfad die Auszahlung ermöglichte.

Die Transaktionsspur deutet auf unbefugte Auszahlungen aus dem Notional-Escrow-Vertrag hin, obwohl der genaue Fehlermechanismus noch unbestimmt ist. Crypto Adventure kontaktierte Notional Finance, um den betroffenen Vertrag, die Ursache und eine mögliche Betroffenheit von Nutzern zu bestätigen, erhielt aber bis zur Veröffentlichung keine Antwort. Bis Notional eine Analyse veröffentlicht, lauten die offenen Fragen, ob der Fehler in der Logik des Escrow-Vertrags oder in einem kompromittierten Schlüssel bzw. einer Operator-Berechtigung lag und ob über die hinterlegten Sicherheiten hinaus weitere Nutzerkontostände betroffen sind.

Gestohlene ETH über Tornado Cash geleitet

Nachdem der Wert aus DAI und USDC umgetauscht war, zahlte der Angreifer die entstandene ETH in Tornado Cash ein. Einzahlungen in Mixer kappen die direkte öffentliche Verbindung zwischen der ursprünglichen Wallet und nachfolgenden Auszahlungsadressen, sodass eine weitere Rückverfolgung von zusätzlicher Onchain-Aktivität oder von Interaktionen mit identifizierbaren Diensten abhängt. Die Geschwindigkeit der Tausch-und-Mix-Sequenz – abgeschlossen innerhalb weniger Stunden – entspricht einem mittlerweile üblichen Vorgehen bei DeFi-Angriffen, sodass Ermittler für Recovery-Hinweise auf Clustering auf der Auszahlungsseite und KYC-Kontaktpunkte bei Börsen angewiesen sind.

Ähnliche Waschwege folgten auch anderen jüngeren DeFi-Diebstählen. Der Angreifer hinter dem Hinkal-Exploit tauschte rund 797.000 USDC in ETH um und leitete dann 410 ETH durch Tornado Cash sowie einen weiteren Teil über THORChain in Bitcoin.

Die Bewegung erfolgte zudem nur wenige Tage nach dem deutlich größeren Tectonic-Exploit auf Cronos, bei dem unbefugte Kreditaufnahmen einen geschätzten Verlust von 74 Mio. USD verursachten und mit dem Angreifer verbundene ETH inzwischen in Tornado Cash eingehen. Auch in anderen jüngeren Diebstählen zeigten sich Cross-Chain-Bewegungen: Bitcoin aus dem Coldcard-Wave-3-Angriff bewegte sich diese Woche erstmals, wobei rund 4,2 BTC über THORChain in etwa 135 ETH umgetauscht wurden, während das meiste gestohlene Bitcoin in den ursprünglichen Angreiferadressen verblieb. Insgesamt unterstreicht diese Häufung von Vorfällen, dass Verträge auf Infrastrukturebene – ob Escrow-, Oracle- oder Lending-Komponenten – in den letzten Monaten die dominierende Angriffsfläche blieben.

Notional hatte V3 nach Balancer-Verlusten bereits eingestellt

Notional erlitt im November 2025 eine weitere größere Störung, als der Balancer-V2-Exploit notleidende Schulden über leveraged Vaults auf Ethereum und Arbitrum verursachte. Der Schaden erzwang die vollständige Einstellung von Notional V3, wobei betroffene Nutzer leveraged Vaults ihre Positionen verloren und ETH-Kreditgeber Abschreibungen hinnehmen mussten. Dieser Vorfall ging auf eine Abhängigkeit von einem Drittanbieter-Protokoll zurück, während der aktuelle Abzug aus Notionals eigenem Escrow-Vertrag stammt. Notional startete anschließend im Januar 2026 sein Exponent-Produkt als neue Architektur für gehebelte Erträge, womit dies der zweite größere Sicherheitsrückschlag für das Protokoll in weniger als einem Jahr ist.

Bis zum frühen 4. September hatten die mit dem jüngsten Diebstahl verbundenen Adressen die abgezogenen Stablecoins in rund 689 ETH umgetauscht und die Gelder in Tornado Cash eingezahlt.

Der Beitrag Notional Finance Escrow Contract Loses $1.7M as Funds Move to Tornado Cash erschien zuerst auf Crypto Adventure.