Så kunde en fCash-skuld på 2^128 bli noll i Notional Finance-exploiten

Det rapporterade angreppet mot Notional Finance var inte främst en fråga om för lågt ställd säkerhet. Det handlade i stället om ett redovisningsfel: en mycket stor fCash-skuld skapades vid gränsen 2^128, men blev noll när protokollet snävade in värdet till typen uint128 i beräkningen av fritt säkerhetsutrymme. När skulden då registrerades som noll kunde kontot se solvent ut och ta ut tillgångar som det annars inte skulle ha fått tillgång till. 416

Den offentliga rekonstruktionen bygger på övervakning av blockkedjan och rapporter från säkerhetsforskare, inte på en publicerad teknisk incidentrapport från protokollet. Transaktionerna och tillgångsflödena är synliga på kedjan, men det exakta anropsförloppet, den slutliga skadan och eventuella åtgärder var inte bekräftade i den tillgängliga rapporteringen. 34

Felet: en skuld som räknades som noll

Notional V1 representerade framtida betalningsåtaganden med fCash. Enligt CertiKs offentliga larm använde angriparen två anrop till mintfCashPair() för att skapa en skuld på -2^128. Vid värderingen av fritt säkerhetsutrymme ska en osäker konvertering till uint128 ha kapat värdet till 0. 16

I praktiken såg den rapporterade angreppsvägen ut så här:

1. En extremt stor negativ fCash-position skapades. Angriparen skapade en skuld precis vid den storlek där en nedkonvertering till ett 128-bitars osignerat heltal kan få skuldvärdet att försvinna. 416
2. Säkerhetsvärderingen utlöstes. Escrow-kontraktets redovisning ska då ha konverterat skulden med en osäker nedkonvertering till uint128.
3. Skulden försvann ur kontrollen. I stället för att visa en enorm negativ förpliktelse behandlade beräkningen värdet som noll. 46
4. Uttagsspärren kunde passeras. När skulden saknades i beräkningen av fritt säkerhetsutrymme kunde kontot framstå som tillräckligt säkrat för att ta ut stablecoins från escrow-kontraktet. 46

Detta beskrivs mer träffsäkert som ett fel i nedkonvertering och redovisningsinvarianter än som ett generellt ”heltalsöverflöd”. Den avgörande effekten var enligt rapporterna att en negativ skuld blev noll just i den värderingsväg som skulle hindra uttag från ett underkapitaliserat konto. 416

Tillgångarna som uppges ha förts bort

On-chain-rapporteringen uppskattade förlusten till omkring 69 257 DAI och 1 650 824 USDC, motsvarande cirka 1,728 miljoner dollar. Tillgångarna ska därefter ha växlats till ungefär 689,2 ETH och satts in i Tornado Cash. 215

Kontraktet som pekades ut i rapporteringen var Notional Finance-escrowet på adressen 0x9abd0b8868546105F6F48298eaDC1D9c82f7f683. En rapport uppgav att en förberedande transaktion från en adress som slutar på Ce38 genomfördes klockan 23.58.47 UTC den 3 september 2026, följd av uttagstransaktionen omkring tre minuter senare, tidigt den 4 september. 1723

Utredare kopplade offentligt två Ethereum-adresser till överföringarna:

• 0xC954…De69
• 0xDaCC…Ce38

Det är en koppling baserad på on-chain-utredning – inte en identifiering av en person, organisation eller faktisk slutlig kontrollant. 11

Varför ETH och Tornado Cash försvårade återvinning

Växlingen från DAI och USDC till ETH förändrade förutsättningarna för att följa och eventuellt återvinna tillgångarna. Stablecoin-överföringarna är tydligt spårbara på Ethereum, medan en växling till ETH gör flödet mer utspritt. De rapporterade insättningarna i Tornado Cash lade sedan till ett integritetslager som är avsett att dölja transaktioners ursprung, destination och motparter. 229

Det betyder varken att blockkedjeanalys blir omöjlig eller att man kan fastställa vem som kontrollerar ett senare uttag. Men den direkta kopplingen, tillgång för tillgång, mellan det exploaterade escrow-kontraktet och en senare mottagare blir betydligt svårare att följa när medel förs in i en mixer. 29

Det som fortfarande var oklart

Vid tidpunkten för rapporterna hade Notional inte publicerat något offentligt incidentsvar. Därmed återstod flera viktiga frågor:

• den definitiva tekniska grundorsaken och hela sekvensen av kontraktsanrop;
• om rapporterade transaktioner omfattade samtliga berörda kontrakt, konton och tillgångar;
• den slutliga förlusten efter växlingar, avgifter och eventuella senare överföringar;
• vilka möjligheter som fanns att pausa, uppgradera, kompensera eller återvinna tillgångar; och
• angriparens identitet samt om de offentligt märkta adresserna var de enda plånböckerna under gemensam kontroll. 3411

Den rapporterade orsaken bör därför ses som en stark preliminär rekonstruktion, inte som en ersättning för en granskad post mortem eller en officiell incidentrapport.

Lärdomen för äldre DeFi-kontrakt

Ett äldre kontrakt blir inte lågrisk bara för att det inte längre står i centrum för produktutvecklingen. Så länge det förvarar tillgångar eller har tillgång till flöden för mintning, avveckling, säkerheter eller uttag, är det fortfarande en aktiv finansiell angreppsyta.

För protokollteam lyfter den rapporterade Notional V1-sårbarheten fram flera kontroller som bör granskas tillsammans:

• använd kontrollerade nedkonverteringar och avvisa uttryckligen värden som inte kan representeras säkert;
• testa signerade skulder samt avvecklings- och säkerhetsberäkningar vid numeriska gränser som 2^128;
• formulera regler för solvens och värdebevarande som invarianter och testa dem över sekvenser med flera anrop;
• granska om privilegierade eller ovanliga anropsvägar kan kombinera mintning, avveckling och uttag i en oavsedd ordning; och
• begränsa anropare och anropsflöden när en funktion inte är säker utanför sitt avsedda sammanhang.

Det bredare mönstret är välkänt inom DeFi: ett litet fel i hur data representeras eller behörigheter hanteras kan bli en total förlust när det når en uttagsväg med likvida tillgångar. Försvaret handlar därför inte enbart om att granska enskilda funktioner, utan om att visa att systemets redovisningsinvarianter håller för varje nåbar följd av anrop.