Notional V1 點樣令 2^128 債務「歸零」？一次託管合約漏洞拆解

呢次據報涉及 Notional Finance 嘅事件，唔係一般「抵押品唔夠」咁簡單，而係一次帳目計算失配：攻擊者建立咗一筆達 2^128 邊界嘅巨額 fCash 債務；到協議計算可用抵押品（free collateral）時，該數值被縮窄轉成 uint128，結果債務被截斷為 0。喺最關鍵嘅償債能力檢查中，負債既然被記成零，帳戶就有可能被視為資產充足，從而提取本來無資格動用嘅資產。416

不過，要留意公開重組主要建基於鏈上監察及安全研究人員報告，而唔係協議方已發表嘅事故報告。資金流向可以由鏈上資料觀察到，但完整呼叫順序、最終影響範圍，以及修復進度，喺當時報道中都未獲正式確認。34

核心問題：一筆債務點解會被計成零？

Notional V1 用 fCash 代表未來要履行嘅現金義務。按 CertiK 公開警報所述，攻擊者用兩次 mintfCashPair() 建立咗 -2^128 嘅負債。到計算可用抵押品時，系統據報將該值不安全噉向下轉型為 uint128，令其變成 0。16

用較易明嘅方式講，研究人員描述嘅攻擊路徑大致係：

1. 整出極端負 fCash 倉位：攻擊者建立一筆負債，數值啱啱落喺轉成 128 位元無符號整數時會丟失負債表示嘅邊界。416
2. 觸發抵押品估值：託管合約嘅帳目邏輯據報以不安全方式將負債 downcast 成 uint128。
3. 債務喺檢查中「消失」：系統冇將呢筆龐大負債當成負數義務，反而將其視為零。46
4. 通過提款閘口：可用抵押品計算冇計入債務後，帳戶表面上符合提款條件，於是可提走託管合約內嘅流動穩定幣。46

所以，與其籠統叫佢「整數溢位」，更準確嘅說法係：呢係一個縮窄型別轉換加上帳目不變量失效嘅問題。關鍵唔只係數值出錯，而係本來應該阻止資不抵債提款嘅估值路徑，將負債計成咗零。416

據報被提走咗幾多資產？

鏈上報告估算，流失資產約為 69,257 DAI 同 1,650,824 USDC，合共約 172.8 萬美元。呢批資產據報其後被兌換為約 689.2 ETH，再存入 Tornado Cash。215

報道識別到嘅合約係 Notional Finance 託管合約：0x9abd0b8868546105F6F48298eaDC1D9c82f7f683。其中一份報告指，一個尾號為 Ce38 嘅地址喺 2026 年 9 月 3 日晚上 11 時 58 分 47 秒（UTC）發出準備交易；大約 3 分鐘後，提款交易喺 9 月 4 日凌晨確認。1723

調查人員公開將以下兩個以太坊地址，同資金轉移關聯起來：

• 0xC954…De69
• 0xDaCC…Ce38

呢啲只係鏈上調查層面嘅關聯標籤，並唔代表已確認實際控制者係某個人、機構或組織。11

點解轉做 ETH 再入 Tornado Cash，令追討更複雜？

據報由 DAI、USDC 兌換成 ETH，已經令資產追蹤情況改變。原先穩定幣喺以太坊上嘅轉帳路徑相當清楚；轉成 ETH 後，資金以另一種資產形式流轉。其後再存入 Tornado Cash，會加入一層旨在模糊交易來源、目的地及交易對手嘅私隱機制。229

呢個唔代表區塊鏈分析完全做唔到，亦唔能夠據此斷定之後邊個控制提款。不過，當資金進入混幣服務後，要由被利用嘅託管合約一路逐筆對應到日後收款人，難度會明顯提高。29

當時仲有邊啲未解問題？

喺相關報道發表時，Notional 未有公開回應事故；以下重要問題仍未有定論：

• 最終技術根因，以及完整嘅攻擊呼叫流程；
• 報道中嘅交易係咪涵蓋所有受影響合約、帳戶同資產；
• 計及兌換、手續費及後續轉帳後，最終損失究竟係幾多；
• 協議可唔可以暫停、升級、賠償用戶或追討資產；
• 攻擊者身份，以及已標記地址係咪全部由同一方控制。3411

因此，現階段應將上述成因視作有力嘅初步重組，而唔應當作取代審計級事後報告或官方事故報告嘅最終結論。

舊版 DeFi 合約唔等於低風險

一份舊合約，就算已經唔係產品路線圖核心，只要仍然託管資產，或者仍可接觸鑄造、結算、抵押品及提款流程，就依然係活躍嘅金融攻擊面。

今次事件為協議團隊帶來幾個值得一齊驗證嘅重點：

• 對縮窄型別轉換採用有檢查嘅轉型，無法安全表示嘅數值要明確拒絕；
• 對帶符號債務、結算及抵押品計算，喺 2^128 等數值邊界做測試；
• 將償債能力同資產守恆規則寫成不變量，並針對多次呼叫組合測試；
• 審視特殊或高權限路徑，會否將鑄造、結算同提款以非預期次序串連；
• 凡係離開預定使用情境就可能唔安全嘅函式，應限制呼叫者同呼叫流程。

DeFi 裡面常見嘅模式係：表示方式或授權上一個看似細小嘅缺陷，一旦接通到持有流動資產嘅提款路徑，就可以演變成全額損失。防線唔應只係逐個函式審計，更重要係證明系統嘅帳目不變量，喺每一個可達嘅呼叫序列之下都仍然成立。