Hoe een schuld van 2^128 bij Notional Finance als nul kon gelden

Dit was volgens de publieke reconstructies geen gewone situatie van te weinig onderpand. De gemelde zwakte zat in de boekhouding: er werd een zeer grote fCash-schuld gecreëerd op de grens van 2^128, waarna die bij het berekenen van het vrije onderpand tot nul werd teruggebracht door een omzetting naar uint128. Doordat de verplichting op dat cruciale moment als nul stond geregistreerd, kon de rekening solvabel lijken en tegoeden opnemen waar zij feitelijk geen recht op had. 416

De reconstructie is gebaseerd op on-chainmonitoring en meldingen van beveiligingsonderzoekers, niet op een gepubliceerd technisch incidentrapport van het protocol. De geldbewegingen zijn op de blockchain zichtbaar, maar de definitieve aanroepvolgorde, de volledige schade en de status van eventuele maatregelen waren in de beschikbare berichtgeving nog niet bevestigd. 34

De boekhoudfout: een schuld die als nul werd gewaardeerd

Notional V1 legde toekomstige betalingsverplichtingen vast als fCash. Volgens de publieke waarschuwing van CertiK gebruikte de aanvaller twee aanroepen van mintfCashPair() om een verplichting van -2^128 te maken. Bij de waardering van het vrije onderpand werd die waarde volgens de melding via een onveilige conversie naar uint128 afgekapt tot 0. 16

Praktisch gezien verliep de gemelde aanval als volgt:

1. Een extreme negatieve fCash-positie creëren. De aanvaller genereerde een schuld precies op een grootte waarbij omzetting naar een 128-bits unsigned integer de schuldrepresentatie kon laten verdwijnen. 416
2. De onderpandwaardering activeren. De boekhouding van de escrow zette de verplichting naar verluidt om via een onveilige uint128-downcast.
3. De schuld laten verdwijnen in de controle. In plaats van een enorme negatieve verplichting mee te nemen, behandelde de berekening de waarde als nul. 46
4. Door de opnamecontrole komen. Omdat de schuld niet meetelde in de berekening van het vrije onderpand, kon de rekening voldoen aan de voorwaarden voor opname van de liquide stablecoins in de escrow. 46

Daarom is dit nauwkeuriger te beschrijven als een fout in een vernauwende typeconversie en een boekhoudkundige invariant, niet simpelweg als een algemeen geval van een ‘integer overflow’. Het cruciale gemelde effect was dat een negatieve verplichting nul werd juist in het waarderingspad dat een opname zonder voldoende onderpand moest blokkeren. 416

Wat er volgens de meldingen is weggehaald

On-chainrapportages schatten het verlies op ongeveer 69.257 DAI en 1.650.824 USDC, samen circa 1,728 miljoen dollar. De activa zouden zijn omgewisseld voor ongeveer 689,2 ETH en daarna in Tornado Cash zijn gestort. 215

Het contract dat in de berichtgeving werd genoemd, is de Notional Finance-escrow op 0x9abd0b8868546105F6F48298eaDC1D9c82f7f683. Eén rapport noemt een voorbereidende transactie vanaf een adres dat eindigt op Ce38, om 23:58:47 UTC op 3 september 2026. Ongeveer drie minuten later volgde, vroeg op 4 september, de transactie die de tegoeden weghaalde. 1723

Onderzoekers brachten publiekelijk twee Ethereum-adressen in verband met de geldbewegingen:

• 0xC954…De69
• 0xDaCC…Ce38

Dat zijn labels uit een on-chainonderzoek, geen identificatie van een persoon, organisatie of uiteindelijke beheerder van de wallets. 11

Waarom de route via ETH herstel lastiger maakte

De gemelde omzetting van DAI en USDC naar ETH veranderde de mogelijkheden om de geldstroom te volgen. De stablecointransfers waren op Ethereum rechtstreeks te volgen; na de omzetting werden de middelen verspreid als ETH. De gemelde stortingen in Tornado Cash voegden vervolgens een privacylaag toe die de herkomst, bestemming en tegenpartijen van transacties beoogt te verhullen. 229

Dat maakt blockchainanalyse niet onmogelijk en bewijst evenmin wie een eventuele latere opname beheerde. Wel wordt het veel lastiger om de directe, activum-voor-activumketen van de getroffen escrow naar een latere ontvanger te reconstrueren zodra middelen in een mixer terechtkomen. 29

Wat nog niet vaststond

Op het moment van de berichten had Notional geen publieke incidentreactie uitgebracht. Daardoor bleven belangrijke vragen open:

• de definitieve technische oorzaak en de volledige exploitvolgorde;
• of alle getroffen contracten, accounts en activa al in beeld waren;
• het uiteindelijke verlies na swaps, kosten en eventuele vervolgtransacties;
• welke mogelijkheden er waren om te pauzeren, upgraden, gebruikers te compenseren of geld terug te halen; en
• de identiteit van de aanvaller en of de publiek gelabelde adressen de enige wallets onder dezelfde controle waren. 3411

De gemelde oorzaak moet daarom worden gezien als een sterke voorlopige reconstructie, niet als vervanging van een gecontroleerd post-mortem of een officieel incidentrapport.

De beveiligingsles voor oudere DeFi-systemen

Een oud contract is niet automatisch laag risico omdat het niet langer centraal staat in de productplanning. Zolang het activa bewaart of toegang houdt tot minting, afwikkeling, onderpand- of opnameprocessen, blijft het een actief financieel aanvalsoppervlak.

Voor protocolteams onderstreept de gemelde fout bij Notional V1 een aantal controles die in samenhang moeten worden gevalideerd:

• gebruik gecontroleerde vernauwende typeconversies en wijs waarden af die niet veilig kunnen worden weergegeven;
• test berekeningen rond onder meer getekende schulden, afwikkeling en onderpand op numerieke grenswaarden zoals 2^128;
• leg regels voor solvabiliteit en waardebehoud vast als invarianten en test die over reeksen van meerdere aanroepen;
• onderzoek of bevoorrechte of ongebruikelijke aanroeppaden minting, afwikkeling en opnames in een onbedoelde volgorde kunnen combineren; en
• beperk aanroepers en aanroepstromen wanneer een functie buiten de beoogde context onveilig is.

Het bredere patroon is bekend in DeFi: een klein defect in gegevensrepresentatie of autorisatie kan uitgroeien tot volledig verlies zodra het een opnamepad met liquide activa bereikt. De belangrijkste verdediging is daarom niet alleen losse functies auditen, maar aantonen dat de boekhoudkundige invarianten overeind blijven in elke bereikbare reeks van aanroepen.