Notional Finance V1 漏洞复盘：一笔 2^128 债务为何在账面上变成零

这起被报道的 Notional Finance 事件，并非传统意义上的抵押品不足，而更像是一处账务处理不一致：攻击者据称构造了一笔处于 2^128 边界的巨额 fCash 债务；协议在计算可用抵押品（free collateral）时，将其窄化转换为 uint128，结果该负债被处理成了零。于是，在决定账户能否提现的关键环节，这笔本应极大的负债没有被计入，账户看起来仍具备偿付能力，并可转出原本无权动用的资产。416

目前的公开复盘主要来自链上监测和安全研究人员的报告，而不是项目方发布的正式事后分析。这一区别很重要：资金流向可以通过链上记录观察，但完整调用顺序、最终影响范围以及修复状态，在现有报道中尚未获得官方确认。34

问题核心：巨额债务如何在计算中“归零”

Notional V1 用 fCash 表示未来的现金义务。CertiK 的公开警报称，攻击者通过两次 mintfCashPair() 调用制造了 -2^128 的负债；在可用抵押品估值时，一次不安全的 uint128 转换据称将其截断为 0。16

按研究人员描述，攻击路径大致可拆为四步：

1. 构造极端的负 fCash 头寸。 攻击者生成了一笔恰好处在边界上的负债，使其在被转换为 128 位无符号整数时，债务表示可能被丢弃。416
2. 触发抵押品估值。 托管合约的账务逻辑据称对该负债进行了不安全的 uint128 窄化转换。
3. 债务在校验中消失。 计算结果没有反映巨额负债，而是把该数值当作零处理。46
4. 通过提现门槛。 由于可用抵押品计算遗漏了这笔债务，账户表面上满足了从托管合约提取流动性稳定币的条件。46

因此，与其笼统称之为“整数溢出”，更准确的理解是：这是一次窄化转换与账务不变量失效。关键影响在于，负债在本应阻止抵押不足提现的估值路径中，被处理成了零。416

据报转出了哪些资产

链上报告估计，损失约为 69,257 枚 DAI 和 1,650,824 枚 USDC，合计约 172.8 万美元。这些资产据称随后被兑换为约 689.2 枚 ETH，并存入 Tornado Cash。215

报道指向的合约为 Notional Finance 托管合约，地址是 0x9abd0b8868546105F6F48298eaDC1D9c82f7f683。其中一份报告称，尾号为 Ce38 的地址于 2026 年 9 月 3 日 UTC 时间 23:58:47 发起准备交易；约三分钟后，在 9 月 4 日凌晨发生资金转出交易。1723

调查人员公开关联了两个以太坊地址：

• 0xC954…De69
• 0xDaCC…Ce38

这些标签仅代表链上调查中的关联判断，并不等同于已确认某个个人、组织或最终控制者的身份。11

为什么兑换成 ETH 并进入混币器会增加追回难度

DAI 和 USDC 被兑换为 ETH 后，追踪和追偿的形势发生了变化。稳定币从托管合约流出时，其链上转账记录清晰可见；但兑换成 ETH 后，资产形态发生变化。随后据报进入 Tornado Cash，则又增加了一层旨在混淆交易来源、去向和交易对手方的信息隔离。229

这并不意味着链上分析从此不可能，也不能据此认定后续任何提现地址的控制者是谁。但一旦资金进入混币器，要将被利用的托管合约中的特定资产，与之后某个接收方逐笔直接对应起来，难度会显著上升。29

当时仍未明确的关键问题

在相关报道发布时，Notional 尚未公开回应此事件，因此多个重要问题仍待确认：

• 最终的技术根因，以及完整的攻击调用流程；
• 报道中的交易是否涵盖全部受影响合约、账户和资产；
• 扣除兑换、手续费及后续转账后的最终损失；
• 是否存在暂停、升级、补偿或资产追回措施；
• 攻击者身份，以及被标记的两个地址是否是同一控制方掌握的全部钱包。3411

因此，当前对漏洞成因的描述应视为有较强依据的初步重建，而不能替代审计后的技术复盘或项目方正式事故报告。

留给 DeFi 的安全警示：遗留合约仍是攻击面

一份合约年代久远、甚至不再是产品路线图的核心，并不意味着它风险很低。只要它仍托管资产，或仍可参与铸造、结算、抵押品核算或提现流程，它就是一处持续存在的金融攻击面。

从这次报告所描述的问题看，协议团队应结合验证以下控制措施：

• 对窄化类型转换使用安全检查，并明确拒绝无法安全表示的数值；
• 在 2^128 等数值边界测试带符号债务、结算与抵押品计算；
• 将偿付能力和资产守恒规则写成不变量，并在多调用序列下进行测试；
• 审查特殊或高权限调用路径是否会以非预期顺序组合铸造、结算和提现操作；
• 对只能在特定上下文中安全运行的函数，限制调用者和调用流程。

DeFi 攻击中常见的一种模式是：表示层或权限层的一个小缺陷，一旦通向持有流动资产的提现路径，便可能被放大为完整的资金损失。防线不应只停留在逐个审计函数，而应验证系统的账务不变量能否在每一条可达调用序列中始终成立。