Pérdidas superan los 26 millones de dólares: Análisis del incidente de seguridad de Truebit Protocol y seguimiento del flujo de fondos robados

marsbitPublicado a 2026-01-09Actualizado a 2026-01-09

Resumen

El protocolo Truebit sufrió un ataque el 9 de enero, resultando en una pérdida de 8,535.36 ETH (aproximadamente 26.4 millones de dólares). El contrato afectado, desplegado hace cinco años y sin código abierto, presentaba una vulnerabilidad en una función no auditada. El atacante explotó un error de lógica aritmética (posiblemente truncamiento de enteros) al llamar a la función 0xa0296215() con un msg.value mínimo, lo que permitió la acuñación masiva de tokens TRU. Posteriormente, los intercambió por ETH del contrato mediante la función burn, repitiendo el proceso hasta drenar casi todos los fondos. Los activos robados se encuentran principalmente en las direcciones 0xd12f6e0fa7fbf4e3a1c7996e3f0dd26ab9031a60 (4,267.09 ETH) y 0x273589ca3713e7becf42069f9fb3f0c164ce850a (4,001 ETH). Beosin recomienda actualizar contratos antiguos, implementar mecanismos de pausa de emergencia y realizar auditorías de seguridad para prevenir incidentes similares.

Autor: Beosin

El 9 de enero en la madrugada, un contrato no abierto implementado hace 5 años por Truebit Protocol sufrió un ataque, perdiendo 8,535.36 ETH (valorados en aproximadamente 26.4 millones de dólares). El equipo de seguridad de Beosin realizó un análisis de la vulnerabilidad y el seguimiento de fondos de este incidente de seguridad, y comparte los resultados a continuación:

Análisis de la técnica de ataque

Para este incidente, tomamos como análisis la transacción de ataque más significativa, cuyo hash es: 0xcd4755645595094a8ab984d0db7e3b4aabde72a5c87c4f176a030629c47fb014

1. El atacante llama a getPurchasePrice() para obtener el precio

2. Luego llama a la función defectuosa 0xa0296215(), estableciendo el valor de msg.value extremadamente bajo

Dado que el contrato no es de código abierto, a través del código descompilado se infiere que esta función tiene una vulnerabilidad lógica aritmética, como problemas de truncamiento de enteros, lo que permitió al atacante acuñar con éxito una gran cantidad de tokens TRU.

3. El atacante utiliza la función burn para "vender" los tokens acuñados de vuelta al contrato, extrayendo una gran cantidad de ETH de las reservas del contrato.

Este proceso se repite 4 veces, incrementando el valor de msg.value cada vez, hasta extraer casi todo el ETH del contrato.

Seguimiento de fondos robados

Según los datos de transacciones en cadena, Beosin realizó un seguimiento exhaustivo de los fondos a través de su plataforma de investigación y rastreo en cadena BeosinTrace, y comparte los resultados a continuación:

Actualmente, los 8,535.36 ETH robados, después de ser transferidos, se encuentran en su mayor parte en 0xd12f6e0fa7fbf4e3a1c7996e3f0dd26ab9031a60 y 0x273589ca3713e7becf42069f9fb3f0c164ce850a.

La dirección 0xd12f posee 4,267.09 ETH, y la dirección 0x2735 posee 4,001 ETH. La dirección desde la que el atacante inició el ataque (0x6c8ec8f14be7c01672d31cfa5f2cefeab2562b50) aún tiene 267.71 ETH. Las tres direcciones no han realizado más transferencias de fondos por el momento.

Gráfico de análisis del flujo de fondos robados por Beosin Trace

Todas las direcciones mencionadas han sido marcadas como direcciones de alto riesgo por Beosin KYT. Tomando como ejemplo la dirección del atacante:

Beosin KYT

Conclusión

Los fondos robados en este incidente involucran un contrato inteligente no abierto implementado hace 5 años. Para este tipo de contratos, los proyectos deberían actualizar el contrato, introducir funciones de pausa de emergencia, limitaciones de parámetros y las características de seguridad de las nuevas versiones de Solidity. Además, la auditoría de seguridad sigue siendo un paso esencial para los contratos. A través de auditorías de seguridad, las empresas Web3 pueden detectar de la manera más exhaustiva posible el código del contrato inteligente, encontrar y reparar vulnerabilidades potenciales, mejorando así la seguridad del contrato.

*Beosin proporcionará el informe completo de todos los flujos de fondos y riesgos de direcciones de este incidente. Bienvenidos a solicitarlo a través del correo oficial [email protected].

Preguntas relacionadas

Q¿Qué es el Truebit Protocol y cuánto perdió en el ataque?

ATruebit Protocol es un proyecto de blockchain que sufrió un ataque a un contrato no abierto implementado hace 5 años, perdiendo 8,535.36 ETH (equivalente a aproximadamente 26.4 millones de dólares).

Q¿Cuál fue la principal vulnerabilidad explotada en el ataque según Beosin?

ALa vulnerabilidad explotada fue un problema lógico aritmético en una función no abierta (posiblemente relacionada con truncamiento de enteros), permitiendo al atacante acuñar una gran cantidad de tokens TRU con un msg.value mínimo.

Q¿A qué direcciones se transfirieron la mayoría de los fondos robados?

ALa mayoría de los fondos robados (8,535.36 ETH) fueron transferidos a dos direcciones: 0xd12f6e0fa7fbf4e3a1c7996e3f0dd26ab9031a60 (4,267.09 ETH) y 0x273589ca3713e7becf42069f9fb3f0c164ce850a (4,001 ETH).

Q¿Qué herramienta utilizó Beosin para rastrear el flujo de fondos?

ABeosin utilizó su plataforma de investigación y rastreo en cadena BeosinTrace para realizar un seguimiento detallado del flujo de fondos robados.

Q¿Qué recomendaciones de seguridad sugiere Beosin después de este incidente?

ABeosin recomienda actualizar contratos no abiertos, introducir funciones de pausa de emergencia, limitaciones de parámetros, características de seguridad de nuevas versiones de Solidity y realizar auditorías de seguridad para detectar y reparar vulnerabilidades.

Lecturas Relacionadas

Se actualizan los datos sobre Bitcoin y altcoins en la cadena de bloques: mantente al día con la información más reciente

El mercado de criptomonedas ha experimentado un fuerte crecimiento en las últimas semanas, cambiando drásticamente el sentimiento de los inversores. El Índice de Miedo y Codicia ha alcanzado 81 puntos, su nivel más alto este año, entrando en la zona de "codicia extrema". Hace solo un mes, el índice estaba en la zona de "miedo", lo que subraya un rápido cambio en la aversión al riesgo. Bitcoin ($BTC) mantiene una tendencia alcista, cotizando alrededor de $79,252, con un aumento del 0,67% en la última hora. Sin embargo, el Índice de Miedo y Codicia de BitcoinSystem On-Chain muestra actualmente un nivel de "codicia" de 74 puntos. Los mercados de derivados muestran alta volatilidad. En las últimas 24 horas, se liquidaron posiciones apalancadas por un total de $424,5 millones, de los cuales $334,2 millones eran posiciones largas y $90,3 millones posiciones cortas. Los indicadores on-chain de Bitcoin ofrecen señales clave sobre la estructura del mercado. Con un precio actual muy por encima de su precio real estimado de unos $53,000, una parte significativa de los inversores está tomando ganancias. El ratio MVRV es de 1,49, indicando que la capitalización de mercado supera el valor real en un 49%, pero sigue estando por debajo de los niveles de sobrecalentamiento de mercados alcistas anteriores. La Ganancia/Pérdida Neta No Realizada (NUPL) está en 0,33, mostrando que los inversores en Bitcoin mantienen ganancias no realizadas. El SOPR en 1,0193 sugiere que los bitcoins gastados en la red se mueven con una ganancia promedio, señalando que continúa la toma de ganancias. El Múltiplo de Puell, en 0,93, indica que los ingresos de los mineros aún no han alcanzado niveles excesivamente altos en comparación con los promedios históricos. *Esto no es una recomendación de inversión.

cryptonews.ruHace 32 min(s)

Se actualizan los datos sobre Bitcoin y altcoins en la cadena de bloques: mantente al día con la información más reciente

cryptonews.ruHace 32 min(s)

Bitcoin entra en la 'fase inicial' de un nuevo mercado alcista, pero los $83K siguen siendo clave: CryptoQuant

Según el informe de CryptoQuant, Bitcoin ha entrado en la fase inicial de un nuevo mercado alcista, respaldado por un aumento del 24% que llevó los indicadores clave de demanda y on-chain a territorio positivo. El "Bull Score" de la firma subió de 30 a 80, su nivel más alto desde octubre de 2025, con ocho de diez indicadores mostrando señales alcistas. Sin embargo, para confirmar definitivamente el cambio de tendencia, Bitcoin necesita un cierre semanal por encima de su media móvil de 365 días, situada actualmente en torno a los $83,000. El analista Joel Kruger también señala la ruptura del máximo de mayo de 2026 en $82,820 como clave para apuntar hacia los $100,000 y más allá. A pesar del optimismo, CryptoQuant advierte sobre un posible recalentamiento a corto plazo. Los beneficios no realizados de los traders alcanzan el 20.5%, el nivel más alto desde junio de 2025. Además, las ballenas han tomado beneficios por unos $1,200 millones recientemente, y los depósitos de BTC en exchanges han aumentado, lo que podría indicar presión de venta. En el momento del informe, Bitcoin cotizaba alrededor de $79,000.

cointelegraphHace 43 min(s)

Bitcoin entra en la 'fase inicial' de un nuevo mercado alcista, pero los $83K siguen siendo clave: CryptoQuant

cointelegraphHace 43 min(s)

Las transacciones de Solana alcanzan un récord de 4.200 millones mientras SOL sube un 40%

La actividad de transacciones en la blockchain de Solana alcanzó un récord histórico en julio, con 4,200 millones de operaciones procesadas, un aumento del 13.5% respecto al mes anterior. Este crecimiento, que representa un incremento del 91% desde diciembre, precedió a una fuerte subida del precio de SOL, que se revalorizó aproximadamente un 40% en ocho días y superó los 100 dólares por primera vez desde febrero. El repunte coincidió con una expansión más amplia de los activos del mundo real tokenizados (RWA), cuyo valor total en las blockchains rastreadas supera los 38,000 millones de dólares. En Solana específicamente, el valor de los RWA tokenizados se acercó a los 4,000 millones de dólares, con un aumento de aproximadamente el 11.8% en el último mes. La aceleración del rally se produjo después de que el Departamento del Tesoro de EE.UU. anunciara planes para duplicar ciertas recompras de bonos a largo plazo, una medida que redujo los rendimientos y aumentó el apetito por el riesgo en los mercados de criptomonedas.

cointelegraphHace 53 min(s)

Las transacciones de Solana alcanzan un récord de 4.200 millones mientras SOL sube un 40%

cointelegraphHace 53 min(s)

¡Se anuncian los altcoins que generaron mayores ganancias durante el reciente repunte brusco!

Se han identificado los proyectos de criptomonedas que generaron mayores ingresos en los últimos 30 días. El líder es el emisor de stablecoins Tether, con 438.9 millones de dólares, seguido de Tron con 224.6 millones y Circle con 181.5 millones. Tras ellos, destaca la gran diferencia en los montos: Hyperliquid generó 48.6 millones y pump.fun 30.7 millones. En cuanto al crecimiento porcentual, GMGN registró el aumento más notable (+159%), seguido por Uniswap (+74.7%), pump.fun (+62.3%) y Axiom Trade (+59.5%). Otros proyectos como Sky, Polymarket y Ethereum mostraron variaciones negativas en sus ingresos durante el periodo. La lista abarca desde emisores de stablecoins y redes blockchain hasta exchanges descentralizados y mercados de predicción.

cryptonews.ruHace 1 hora(s)

¡Se anuncian los altcoins que generaron mayores ganancias durante el reciente repunte brusco!

cryptonews.ruHace 1 hora(s)

FlyEdge lanza una plataforma de prueba para la tokenización de bonos de avión

FlyEdge, una plataforma B2B que se dedica a tokenizar programas de lealtad de aerolíneas, ha abierto el acceso público a su versión preliminar de infraestructura blockchain. Aerolíneas y pasajeros pueden probar el sistema y rastrear todo el proceso en la cadena de bloques: desde la emisión y conversión de tokens hasta su transferencia y canje. La plataforma funciona sobre StreamChain, una blockchain compatible con EVM especializada en soluciones para programas de fidelización aérea. Las aerolíneas mantienen el control total sobre sus tokens de lealtad. Mediante una herramienta específica de FlyEdge, pueden emitir, destruir y transferir tokens. Todas las operaciones se registran en la blockchain y son verificables. Este enfoque pretende dar a las aerolíneas más control sobre la emisión y uso de bonificaciones. FlyEdge también busca que la tecnología blockchain pase desapercibida para los pasajeros comunes. Los usuarios reciben billeteras inteligentes no custodiales protegidas con passkeys, y las comisiones de la red las paga la propia plataforma. Así, los pasajeros no necesitan guardar frases semilla, comprar tokens para pagar comisiones ni utilizar billeteras cripto típicas. La versión preliminar se lanzó el 20 de agosto en 12 idiomas. FlyEdge declaró que ya ha verificado 100 activos de prueba y operaciones de usuarios en la plataforma. La empresa subrayó que este lanzamiento no marca el inicio de operaciones comerciales con aerolíneas reales, sino que está destinado a pruebas por parte de aerolíneas, pasajeros y medios de comunicación.

cryptonews.ruHace 1 hora(s)

FlyEdge lanza una plataforma de prueba para la tokenización de bonos de avión

cryptonews.ruHace 1 hora(s)

Trading

Spot
活动图片

Categorías popularesright-arrow

Etiquetas Popularesright-arrow