AnswersPublished20 sources
Jak exploit v Notional Finance V1 proměnil dluh 2^128 v nulu
Podle bezpečnostních analytiků vznikl dvěma voláními mintfCashPair dluh −2^128, který se při nebezpečném převodu na uint128 vyhodnotil jako nula. Z escrow kontraktu mělo odejít přibližně 69 257 DAI a 1 650 824 USDC; aktiva byla směněna za asi 689,2 ETH a odeslána do Tornado Cash.
PublikovalUpraveno pomocí GPT-5.6 TerraObrázky vytvořeny pomocí GPT Image 2
Research answer
Key takeaways
- Podle bezpečnostních analytiků vznikl dvěma voláními mintfCashPair dluh −2^128, který se při nebezpečném převodu na uint128 vyhodnotil jako nula.
- Z escrow kontraktu mělo odejít přibližně 69 257 DAI a 1 650 824 USDC; aktiva byla směněna za asi 689,2 ETH a odeslána do Tornado Cash.
- Případ ukazuje, že i starší DeFi kontrakty zůstávají kritickou bezpečnostní hranicí, pokud stále spravují aktiva nebo obsluhují výběry a vypořádání.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: How did an attacker exploit an unsafe uint128 downcast/integer-overflow flaw in Notional Finance’s legacy Ethereum V1 escrow contract on Sep. Article summary: The reported exploit abused a legacy V1 accounting path: the attacker created an fCash liability at the `2^128` boundary, then an unsafe cast to `uint128` truncated that liability to zero during free-collateral valuation. Topic tags: general, general web, user generated, government, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text,
Nešlo o běžný případ nedostatečného zajištění. Podle veřejné rekonstrukce útoku vznikl v escrow kontraktu Notional Finance V1 extrémní dluh ve fCash na hranici 2^128. Při výpočtu volného kolaterálu jej pak nebezpečný převod na uint128 údajně zúžil tak, že se vyhodnotil jako 0. V okamžiku rozhodující kontroly tedy účet mohl vypadat solventně a vybrat aktiva, k nimž by za normálních okolností neměl přístup. 4
16
Dostupná rekonstrukce vychází z on-chain monitoringu a zjištění bezpečnostních výzkumníků, nikoli z oficiálního post-mortemu protokolu. Přesuny prostředků jsou na blockchainu pozorovatelné, ale přesná posloupnost volání, úplný dopad útoku i stav nápravy tehdy nebyly veřejně potvrzeny. 3
4
Jak mohl dluh „zmizet“ při kontrole kolaterálu
Notional V1 pracoval s fCash, tedy tokenizovanými budoucími peněžními závazky. Podle upozornění CertiK útočník dvěma voláními mintfCashPair() vytvořil závazek -2^128. Při ocenění volného kolaterálu měl nebezpečný převod na uint128 tuto hodnotu zkrátit na 0. 16
Popsaný průběh byl následující:
- Vznik extrémně záporné pozice fCash. Útočník vytvořil závazek přesně v rozsahu, kde zúžení na 128bitové nezáporné celé číslo mohlo vyřadit reprezentaci dluhu.
4
16
- Spuštění ocenění kolaterálu. Účetní logika escrow kontraktu měla závazek převést nebezpečným downcastem na
uint128. - Vynulování dluhu v kontrolním výpočtu. Namísto obrovského záporného závazku výpočet pracoval s nulou.
6
- Průchod podmínkou pro výběr. Protože se dluh nezapočítal do volného kolaterálu, účet mohl splnit podmínky pro výběr likvidních stablecoinů z escrow kontraktu.
Přesnější než obecné označení „integer overflow“ je proto mluvit o selhání při zúžení datového typu a porušení účetní invarianty. Podstatné bylo, že záporný závazek se právě ve výpočtu určeném k zablokování nezajištěného výběru změnil na nulu. 4
16
Kolik prostředků mělo zmizet
On-chain reporty uváděly odtok přibližně 69 257 DAI a 1 650 824 USDC, celkem zhruba 1,728 milionu USD. Prostředky měly být následně směněny za asi 689,2 ETH a vloženy do Tornado Cash. 2
15
Dotčeným kontraktem měl být escrow kontrakt Notional Finance na adrese 0x9abd0b8868546105F6F48298eaDC1D9c82f7f683. Jeden z reportů uvádí přípravnou transakci z adresy končící na Ce38 ve 23:58:47 UTC dne 3. září 2026; přibližně o tři minuty později měla následovat odčerpávací transakce, již 4. září. 17
23
Vyšetřovatelé veřejně spojili s pohyby aktiv dvě ethereum adresy:
0xC954…De690xDaCC…Ce38
Jde pouze o on-chain přiřazení v rámci vyšetřování, nikoli o potvrzenou identitu konkrétní osoby, organizace nebo skutečného správce těchto peněženek. 11
Proč převod na ETH zkomplikoval možné vymáhání
Převod DAI a USDC na ETH změnil situaci pro případné dohledávání prostředků. Původní stablecoinové transfery jsou na Ethereu jasně dohledatelné, následná směna však aktiva převedla do ETH. Vklady do Tornado Cash pak přidaly vrstvu soukromí, jejímž účelem je zakrýt původ, cíl a protistrany transakcí. 2
29
To neznamená, že blockchainová analýza je nemožná ani že lze určit, kdo ovládal případný pozdější výběr. Přímé propojení mezi napadeným escrow kontraktem a pozdějším příjemcem se ale po vstupu prostředků do mixéru podstatně hůře sleduje. 29
Co tehdy zůstávalo nejasné
V době zveřejněných reportů Notional nevydal veřejné stanovisko k incidentu. Otevřené tak zůstávaly mimo jiné tyto otázky:
- definitivní technická příčina a kompletní sekvence volání exploitu;
- zda reportované transakce pokrývaly všechny zasažené kontrakty, účty a prostředky;
- konečná výše škody po směnách, poplatcích a dalších transferech;
- možnosti pozastavení kontraktů, upgradu, náhrady uživatelům či získání prostředků zpět;
- identita útočníka a to, zda obě označené adresy byly jedinými peněženkami pod společnou kontrolou.
3
11
Uvedenou příčinu je proto nutné chápat jako silnou předběžnou rekonstrukci, nikoli jako náhradu za auditovaný post-mortem nebo oficiální incident report.
Poučení pro starší DeFi kontrakty
Starý kontrakt není automaticky bezpečný jen proto, že už není středem dalšího vývoje produktu. Pokud stále drží aktiva nebo má přístup k ražbě tokenů, vypořádání, výpočtu kolaterálu či výběrům, zůstává aktivní finanční útočnou plochou.
Pro týmy vyvíjející protokoly případ ukazuje několik kontrol, které je vhodné ověřovat společně:
- používat kontrolované převody při zúžení číselného typu a odmítnout hodnoty, jež nelze bezpečně reprezentovat;
- testovat záporné dluhy, vypořádání a výpočty kolaterálu na číselných hranicích, například
2^128; - formulovat pravidla solventnosti a zachování hodnoty jako invarianty a testovat je napříč vícekrokovými sekvencemi volání;
- ověřit, zda lze neobvyklé či privilegované cesty volání poskládat tak, že propojí ražbu, vypořádání a výběr nezamýšleným pořadím;
- omezit volající i povolené toky volání všude, kde je funkce bezpečná jen v konkrétním kontextu.
V DeFi se opakuje stejný vzorec: drobná chyba v reprezentaci hodnot nebo autorizaci může vyústit v úplnou ztrátu, pokud se dostane až k výběrové cestě s likvidními aktivy. Obrana proto nespočívá jen v auditu jednotlivých funkcí, ale hlavně v ověření, že účetní invarianty platí v každé dosažitelné posloupnosti volání.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Jak exploit v Notional Finance V1 proměnil dluh 2^128 v nulu"?
Podle bezpečnostních analytiků vznikl dvěma voláními mintfCashPair dluh −2^128, který se při nebezpečném převodu na uint128 vyhodnotil jako nula.
What are the key points to validate first?
Podle bezpečnostních analytiků vznikl dvěma voláními mintfCashPair dluh −2^128, který se při nebezpečném převodu na uint128 vyhodnotil jako nula. Z escrow kontraktu mělo odejít přibližně 69 257 DAI a 1 650 824 USDC; aktiva byla směněna za asi 689,2 ETH a odeslána do Tornado Cash.
What should I do next in practice?
Případ ukazuje, že i starší DeFi kontrakty zůstávají kritickou bezpečnostní hranicí, pokud stále spravují aktiva nebo obsluhují výběry a vypořádání.