Näin Notional Finance V1:n escrow-haavoittuvuus muutti 2^128-velan nollaksi

Kyse ei raporttien perusteella ollut tavanomaisesta vakuusvajeesta, vaan kirjanpidollisesta ristiriidasta. Hyökkääjän väitetään luoneen valtavan fCash-velan täsmälleen 2^128-rajalla. Kun sopimus kavensi arvon uint128-tyyppiin vapaan vakuuden laskennassa, velka typistyi nollaksi. Ratkaisevalla hetkellä vastuuvelka siis näkyi nollana, jolloin tili saattoi näyttää maksukykyiseltä ja nostaa varoja, joihin sillä ei olisi pitänyt olla oikeutta. 416

Julkinen tekninen kuvaus perustuu ketjuanalyysiin ja tietoturvatutkijoiden raportointiin, ei Notionalin julkaisemaan jälkiselvitykseen. Ketjussa näkyvät varojen liikkeet, mutta lopullista kutsujärjestystä, kokonaisvaikutusta ja korjausten tilaa ei ollut saatavilla olevissa raporteissa vahvistettu. 34

Velka, joka muuttui laskennassa nollaksi

Notional V1 kuvasi tulevia kassavelvoitteita fCash-tokeneilla. CertiKin julkisen hälytyksen mukaan hyökkääjä käytti kahta mintfCashPair()-kutsua luodakseen -2^128-vastuun. Vapaan vakuuden arvostuksessa tehty turvaton muunnos uint128-tyyppiin katkaisi arvon tiettävästi nollaksi. 16

Tutkijoiden kuvaama tapahtumaketju oli käytännössä tämä:

1. Luotiin poikkeuksellisen suuri negatiivinen fCash-positio. Velka asetettiin tarkalleen arvoon, jossa sen kaventaminen 128-bittiseksi etumerkittömäksi kokonaisluvuksi saattoi hävittää velan esityksen. 416
2. Käynnistettiin vakuusarvio. Escrow-sopimuksen kirjanpito muuntti velan raporttien mukaan turvattomasti uint128-muotoon.
3. Velka katosi tarkistuksesta. Valtavan negatiivisen vastuun sijasta laskenta käsitteli arvon nollana. 46
4. Nostoehto täyttyi näennäisesti. Kun velkaa ei huomioitu vapaassa vakuuslaskennassa, tili saattoi näyttää täyttävän escrow-sopimuksen likvidien stablecoin-varojen nostoehdot. 46

Siksi tapausta on osuvampaa pitää arvon kaventamiseen ja laskentainvarianttiin liittyvänä virheenä kuin yleisluontoisena ”kokonaislukuylivuotona”. Raportoitu ratkaiseva vaikutus oli, että negatiivinen vastuu muuttui nollaksi juuri siinä arvostuspolussa, jonka olisi pitänyt estää alivakuudellinen nosto. 416

Mitä sopimuksesta siirrettiin

Ketjuraportointi arvioi menetykseksi noin 69 257 DAI:ta ja 1 650 824 USDC:tä, yhteensä noin 1,728 miljoonaa Yhdysvaltain dollaria. Varat vaihdettiin raporttien mukaan noin 689,2 ETH:ksi, minkä jälkeen ne talletettiin Tornado Cashiin. 215

Raporteissa tunnistettu sopimus oli Notional Financen Ethereum-escrow osoitteessa 0x9abd0b8868546105F6F48298eaDC1D9c82f7f683. Yhden raportin mukaan osoitteesta, jonka loppuosa on Ce38, tehtiin valmistelutransaktio 3.9.2026 klo 23.58.47 UTC. Tyhjennykseen liitetty transaktio seurasi noin kolme minuuttia myöhemmin, 4.9.2026 varhain UTC-ajassa. 1723

Tutkijat yhdistivät varojen siirtoihin julkisesti kaksi Ethereum-osoitetta:

• 0xC954…De69
• 0xDaCC…Ce38

Kyse on ketjututkinnallisesta yhdistelmästä, ei henkilön, organisaation tai lompakoiden lopullisen hallitsijan tunnistamisesta. 11

Miksi ETH-reitti vaikeutti varojen palauttamista

DAI:n ja USDC:n vaihtaminen ETH:ksi muutti jäljitys- ja palautustilannetta. Stablecoin-siirrot olivat Ethereumissa suoraan seurattavissa, mutta vaihto hajautti varat ETH:ksi. Raportoidut Tornado Cash -talletukset lisäsivät tämän jälkeen yksityisyyskerroksen, jonka tarkoituksena on hämärtää transaktioiden alkuperää, määränpäätä ja vastapuolia. 229

Tämä ei tee lohkoketjuanalyysistä mahdotonta eikä osoita, kuka mahdollisesti myöhemmin nosti varoja. Se kuitenkin vaikeuttaa olennaisesti suoraa, omaisuuseräkohtaista jälkeä hyväksikäytetystä escrow-sopimuksesta myöhempään vastaanottajaan, kun varat kulkevat mikserin kautta. 29

Mitä jäi avoimeksi

Raporttien julkaisuhetkellä Notional ei ollut antanut julkista incident response -selvitystä. Avoimeksi jäivät muun muassa:

• lopullinen tekninen juurisyy ja hyökkäyksen täydellinen kutsuketju;
• kattoivatko raportoidut transaktiot kaikki vaikutuksen kohteena olleet sopimukset, tilit ja varat;
• lopullinen tappio vaihtojen, maksujen ja mahdollisten myöhempien siirtojen jälkeen;
• mahdollisuudet keskeyttää toimintoja, päivittää sopimuksia, korvata käyttäjiä tai palauttaa varoja; sekä
• hyökkääjän henkilöllisyys ja se, hallitsiko sama taho kaikkia julkisesti merkittyjä lompakoita. 3411

Raportoitu syy on siksi syytä tulkita vahvana alustavana rekonstruktiona, ei auditoidun jälkiselvityksen tai virallisen incident-raportin korvikkeena.

Opetus vanhoille DeFi-sopimuksille

Vanha sopimus ei ole vähäriskinen vain siksi, ettei se enää ole tuotteen kehityksen keskiössä. Jos sopimus säilyttää edelleen varoja tai osallistuu minttaukseen, selvitykseen, vakuuksien laskentaan tai nostoihin, se on yhä aktiivinen taloudellinen hyökkäyspinta.

Protokollatiimien kannattaa tarkistaa erityisesti, että:

• arvojen kavennukset tarkistetaan ja arvot, joita ei voi esittää turvallisesti, hylätään;
• etumerkillisen velan, selvityksen ja vakuuslaskennan rajatapaukset, kuten 2^128, testataan;
• maksukyky- ja varojen säilymistä koskevat invariantit määritellään ja testataan myös usean kutsun jaksoissa;
• epätavalliset tai etuoikeutetut kutsupolut eivät mahdollista minttauksen, selvityksen ja noston yhdistämistä tahattomassa järjestyksessä; ja
• kutsujia sekä kutsupolkuja rajoitetaan aina, kun funktio on turvallinen vain tarkoitetussa käyttökontekstissa.

Laajempi DeFi-kuvio on tuttu: pieni esitystapaan tai valtuutukseen liittyvä virhe voi muuttua täydelliseksi varojen menetykseksi, kun se osuu nostopolkuun, jossa on likvidejä varoja. Pelkkä yksittäisten funktioiden auditointi ei riitä, vaan järjestelmän kirjanpidollisten invarianttien on säilyttävä kaikissa saavutettavissa olevissa kutsusarjoissa.