Der Belohnungspool von NovaBox auf Ethereum wurde am 9. Juni gehackt, was zum Diebstahl von etwa 56,73 ETH führte. Der Angriff nutzte eine Schwachstelle im Belohnungsverteilungsmechanismus der Plattform aus und betraf über 130 Einzahler. Die Hacker leerten den Pool in einer einzigen Transaktion von 65,11 ETH auf nur noch 0,09 ETH, was einem Verlust von etwa 99,86 % der Gesamtmittel entspricht. Die Sicherheitsfirma F12 stellte klar, dass die Sicherheitslücke nicht auf eine Schwachstelle im Smart Contract zurückzuführen war, sondern auf einen Fehler im Dividenden-Auszahlungsprozess. Der Angreifer nutzte einen Flash-Kredit von 427,5 WETH von Aave V3, um das System zu manipulieren, indem er eine "Phantomdividende" von 145,82 ETH erzeugte, indem er eine kleine Menge NOVA-Token einzahlte, um die Dividendenberechnung auszulösen, gefolgt von einer großen ETH-Einzahlung. Diese Manipulation ermöglichte es dem Hacker, Dividenden auf Basis eines aufgeblähten Anteils zu erhalten und den Belohnungspool zu leeren.