Slik kunne Notional Finance V1 få en gjeld på 2^128 til å se ut som null

Den rapporterte hendelsen hos Notional Finance var ikke først og fremst et vanlig tilfelle av for lite sikkerhet. Den påståtte svakheten var en feil i regnskapsføringen: En svært stor fCash-gjeld ble opprettet på grensen 2^128, men ble redusert til null da protokollen snevret verdien inn til uint128 under beregningen av fri sikkerhet. Når gjelden da sto som null i den avgjørende kontrollen, kunne kontoen fremstå som solvent og ta ut midler den egentlig ikke skulle hatt tilgang til. 416

Den offentlige rekonstruksjonen bygger på kjedeanalyse og rapporter fra sikkerhetsforskere, ikke på en publisert hendelsesrapport fra protokollen. Det er et vesentlig forbehold: Fondbevegelsene er synlige på Ethereum, men hele kallsekvensen, det endelige tapet og status for tiltak var ikke bekreftet i rapporteringen som forelå. 34

Feilen: En gjeld som ble vurdert til null

Notional V1 brukte fCash for å representere framtidige kontantforpliktelser. Ifølge CertiKs offentlige varsel brukte angriperen to kall til mintfCashPair() for å opprette en gjeld på -2^128. Ved verdsettingen av fri sikkerhet ble verdien angivelig konvertert usikkert til uint128, slik at den ble avkortet til 0. 16

Forenklet var det rapporterte angrepsforløpet slik:

1. En ekstrem negativ fCash-posisjon ble opprettet. Angriperen laget en gjeld på akkurat den størrelsen der en innsnevring til et 128-bits usignert heltall kunne fjerne gjeldsrepresentasjonen. 416
2. Kollateralverdsettingen ble utløst. Escrow-kontraktens regnskap skal ha konvertert gjelden gjennom en usikker nedkonvertering til uint128.
3. Gjeld forsvant i kontrollen. I stedet for å vise en enorm negativ forpliktelse, behandlet beregningen verdien som null. 46
4. Uttakskravet kunne passeres. Når gjelden ikke ble tatt med i beregningen av fri sikkerhet, kunne kontoen se ut til å oppfylle vilkårene for å ta ut escrow-kontraktens likvide stablecoins. 46

Derfor er det mer presist å beskrive dette som en feil i innsnevrende typekonvertering og regnskapsinvarianter enn som et generelt «heltallsoverløp». Den rapporterte, kritiske effekten var at en negativ forpliktelse ble til null akkurat i verdsettingsløpet som skulle ha stanset et uttak uten tilstrekkelig sikkerhet. 416

Hva skal ha blitt tatt ut?

Kjedeanalyse oppga et tap på om lag 69 257 DAI og 1 650 824 USDC, totalt rundt 1,728 millioner dollar. Midlene skal deretter ha blitt vekslet til omtrent 689,2 ETH og satt inn i Tornado Cash. 215

Kontrakten som ble pekt ut i rapporteringen, var Notional Finance-escrowen på 0x9abd0b8868546105F6F48298eaDC1D9c82f7f683. Én rapport beskrev en forberedende transaksjon fra en adresse som ender på Ce38, kl. 23.58.47 UTC 3. september 2026, fulgt rundt tre minutter senere av transaksjonen som tappet kontrakten tidlig 4. september. 1723

Etterforskere knyttet offentlig to Ethereum-adresser til overføringene:

• 0xC954…De69
• 0xDaCC…Ce38

Dette er en analytisk kobling basert på aktivitet på kjeden, ikke en identifisering av en person, organisasjon eller den endelige kontrolleren av adressene. 11

Hvorfor ETH og Tornado Cash gjorde sporing vanskeligere

Vekslingen fra DAI og USDC til ETH endret mulighetene for gjenoppretting. Stablecoin-overføringene var synlige og sporbare på Ethereum, mens den videre vekslingen spredte verdiene over i ETH. De rapporterte innskuddene i Tornado Cash la deretter på et personvernlag som er laget for å tilsløre opprinnelse, destinasjon og motparter i transaksjoner. 229

Det betyr ikke at blokkjedeanalyse blir umulig, eller at det beviser hvem som kontrollerte et senere uttak. Men den direkte, verdifor-verdifor-sporingen fra den utnyttede escrow-kontrakten til en senere mottaker blir vesentlig mindre rett fram når midlene går gjennom en mikser. 29

Dette var fortsatt uavklart

På tidspunktet for rapportene hadde Notional ikke publisert en offentlig respons. Flere sentrale spørsmål sto dermed åpne:

• den endelige tekniske årsaken og hele kallsekvensen i angrepet;
• om transaksjonene omfattet alle berørte kontrakter, kontoer og verdier;
• endelig tap etter vekslinger, gebyrer og eventuelle senere overføringer;
• hvilke muligheter som fantes for å stanse, oppgradere, kompensere eller gjenopprette midler; og
• angriperens identitet, samt om de offentlig merkede adressene var de eneste lommebøkene under felles kontroll. 3411

Den rapporterte forklaringen bør derfor leses som en sterk, men foreløpig teknisk rekonstruksjon – ikke som en erstatning for en revidert post mortem eller en offisiell hendelsesrapport.

Lærepengen for eldre DeFi-kontrakter

En eldre kontrakt blir ikke lavrisiko bare fordi den ikke lenger står sentralt i produktplanen. Så lenge den oppbevarer verdier eller fortsatt er koblet til funksjoner for utstedelse, oppgjør, sikkerhet eller uttak, er den fortsatt en aktiv angrepsflate.

For protokollteam peker den rapporterte Notional V1-feilen på flere kontroller som bør testes samlet:

• bruk kontrollerte innsnevrende konverteringer, og avvis verdier som ikke kan representeres trygt;
• test signert gjeld, oppgjør og sikkerhetsberegninger ved tallgrenser som 2^128;
• uttrykk krav til solvens og verdibevaring som invarianter, og test dem i sekvenser med flere kall;
• gjennomgå om privilegerte eller uvanlige kallveier kan kombinere utstedelse, oppgjør og uttak i en utilsiktet rekkefølge; og
• begrens hvem som kan kalle funksjoner, og hvilke kallforløp som tillates, der en funksjon bare er trygg i en bestemt sammenheng.

Mønsteret er velkjent i DeFi: En liten feil i tallrepresentasjon eller tilgangskontroll kan gi totalt tap når den når en uttaksfunksjon med likvide midler. Forsvaret handler derfor ikke bare om å revidere enkeltfunksjoner, men om å vise at systemets regnskapsinvarianter holder gjennom alle mulige, nåbare sekvenser av kall.