Eksploit Notional Finance V1: Bagaimana Hutang 2^128 “Hilang” Menjadi Sifar

Laporan mengenai insiden Notional Finance bukan sekadar isu cagaran tidak mencukupi. Kelemahan yang didakwa ialah ketidakpadanan dalam perakaunan: hutang fCash yang sangat besar dicipta pada sempadan 2^128, kemudian menjadi sifar apabila protokol mengecilkan nilainya kepada uint128 ketika mengira cagaran bebas (free collateral). Apabila liabiliti itu direkodkan sebagai sifar pada titik penting tersebut, akaun berkenaan boleh kelihatan solven dan mengeluarkan aset yang sepatutnya tidak boleh dicapai. 416

Rekonstruksi awam ini bersandarkan pemantauan rantaian blok dan laporan penyelidik keselamatan, bukannya laporan pasca-insiden rasmi daripada protokol. Perbezaan ini penting: pergerakan dana boleh diperhatikan pada rantaian blok, tetapi turutan panggilan muktamad, kesan penuh dan status pemulihan belum disahkan dalam laporan yang tersedia ketika itu. 34

Kegagalan perakaunan: hutang yang dinilai sebagai sifar

Notional V1 mewakili obligasi tunai masa hadapan sebagai fCash. Menurut amaran awam CertiK, penyerang menggunakan dua panggilan mintfCashPair() untuk mencipta liabiliti -2^128. Semasa penilaian cagaran bebas, penukaran tidak selamat kepada uint128 dilaporkan memotong nilai itu kepada 0. 16

Secara mudah, laluan eksploit yang dihuraikan oleh penyelidik adalah seperti berikut:

1. Cipta kedudukan fCash negatif yang ekstrem. Penyerang menghasilkan liabiliti pada saiz tepat yang membolehkan pengecilan kepada integer tanpa tanda 128-bit menghilangkan representasi hutang. 416
2. Cetuskan penilaian cagaran. Perakaunan escrow dilaporkan menukar liabiliti itu melalui downcast uint128 yang tidak selamat.
3. Hutang “hilang” dalam semakan. Daripada mencerminkan obligasi negatif yang amat besar, pengiraan tersebut menganggap nilainya sifar. 46
4. Lepasi syarat pengeluaran. Oleh sebab hutang tidak diambil kira dalam perakaunan cagaran bebas, akaun itu boleh kelihatan memenuhi syarat untuk mengeluarkan stablecoin cair dalam escrow. 46

Sebab itu isu ini lebih tepat difahami sebagai kegagalan penukaran nilai mengecil dan invarian perakaunan, bukannya sekadar “integer overflow” secara umum. Kesan kritikal yang dilaporkan ialah liabiliti negatif bertukar menjadi sifar tepat pada laluan penilaian yang sepatutnya menghalang pengeluaran daripada akaun tidak bercagar mencukupi. 416

Dana yang dilaporkan dikeluarkan

Laporan rantaian blok menganggarkan kerugian sekitar 69,257 DAI dan 1,650,824 USDC, bersamaan kira-kira AS$1.728 juta. Aset itu dilaporkan ditukar kepada sekitar 689.2 ETH sebelum didepositkan ke Tornado Cash. 215

Kontrak yang dikenal pasti dalam laporan ialah escrow Notional Finance di 0x9abd0b8868546105F6F48298eaDC1D9c82f7f683. Satu laporan menyatakan transaksi persediaan daripada alamat yang berakhir dengan Ce38 berlaku pada 11:58:47 malam UTC, 3 September 2026, diikuti kira-kira tiga minit kemudian oleh transaksi pengeluaran dana pada awal 4 September. 1723

Penyiasat secara terbuka mengaitkan dua alamat Ethereum dengan pemindahan tersebut:

• 0xC954…De69
• 0xDaCC…Ce38

Label itu ialah kaitan berdasarkan siasatan rantaian blok, bukan pengenalpastian seseorang, organisasi atau pengawal muktamad dompet berkenaan. 11

Mengapa laluan melalui ETH menyukarkan pemulihan

Penukaran DAI dan USDC kepada ETH yang dilaporkan itu mengubah prospek pemulihan. Pemindahan stablecoin asal mudah dijejaki di Ethereum, manakala pertukaran berikutnya mengubahnya kepada ETH. Deposit ke Tornado Cash pula menambah lapisan privasi yang bertujuan mengaburkan asal, destinasi dan pihak lawan sesuatu transaksi. 229

Ini tidak bermakna analisis rantaian blok mustahil, dan ia juga tidak membuktikan siapa yang mengawal mana-mana pengeluaran kemudian. Namun, laluan terus aset demi aset daripada escrow yang dieksploit kepada penerima seterusnya menjadi jauh kurang jelas sebaik dana memasuki perkhidmatan pengadun (mixer). 29

Perkara yang masih belum diketahui

Ketika laporan diterbitkan, Notional belum mengeluarkan respons insiden awam. Justeru, beberapa persoalan penting kekal terbuka:

• punca teknikal muktamad dan turutan panggilan eksploit yang lengkap;
• sama ada transaksi dilaporkan melibatkan keseluruhan kontrak, akaun dan aset yang terjejas;
• nilai kerugian akhir selepas pertukaran, yuran atau pindahan susulan;
• pilihan untuk menghentikan operasi, menaik taraf kontrak, memberi pampasan atau mendapatkan semula aset; dan
• identiti penyerang serta sama ada alamat yang dilabel secara terbuka itu satu-satunya dompet di bawah kawalan bersama. 3411

Oleh itu, punca yang dilaporkan patut dianggap sebagai rekonstruksi awal yang kukuh, bukan pengganti laporan pasca-insiden yang diaudit atau laporan rasmi protokol.

Pengajaran keselamatan untuk sistem DeFi lama

Kontrak lama bukan berisiko rendah hanya kerana ia sudah berusia atau tidak lagi menjadi teras hala tuju produk. Selagi ia menyimpan aset atau masih mempunyai akses kepada fungsi pencetakan, penyelesaian, cagaran atau pengeluaran, ia kekal sebagai permukaan serangan kewangan yang aktif.

Bagi pasukan protokol, kegagalan Notional V1 yang dilaporkan ini menyerlahkan beberapa kawalan yang wajar diuji bersama:

• gunakan penukaran nilai mengecil yang diperiksa dan tolak secara jelas nilai yang tidak boleh diwakili dengan selamat;
• uji pengiraan hutang bertanda, penyelesaian dan cagaran pada sempadan angka seperti 2^128;
• jadikan peraturan kesolvenan dan pemuliharaan nilai sebagai invarian, kemudian uji merentas turutan berbilang panggilan;
• semak sama ada laluan panggilan berkeistimewaan atau luar biasa boleh menggabungkan pencetakan, penyelesaian dan pengeluaran dalam susunan yang tidak diingini; dan
• hadkan pemanggil serta aliran panggilan apabila sesuatu fungsi tidak selamat di luar konteks yang dimaksudkan.

Corak lebih luas dalam DeFi sudah biasa: kecacatan kecil pada representasi nilai atau kebenaran boleh bertukar menjadi kerugian penuh apabila ia sampai ke laluan pengeluaran yang memegang aset cair. Pertahanan utama bukan sekadar mengaudit fungsi satu demi satu, tetapi membuktikan bahawa invarian perakaunan sistem terus terpelihara bagi setiap turutan panggilan yang boleh dicapai.