Pérdidas superan los 26 millones de dólares: Análisis del incidente de seguridad de Truebit Protocol y seguimiento del flujo de fondos robados

marsbitPublicado a 2026-01-09Actualizado a 2026-01-09

Resumen

El protocolo Truebit sufrió un ataque el 9 de enero, resultando en una pérdida de 8,535.36 ETH (aproximadamente 26.4 millones de dólares). El contrato afectado, desplegado hace cinco años y sin código abierto, presentaba una vulnerabilidad en una función no auditada. El atacante explotó un error de lógica aritmética (posiblemente truncamiento de enteros) al llamar a la función 0xa0296215() con un msg.value mínimo, lo que permitió la acuñación masiva de tokens TRU. Posteriormente, los intercambió por ETH del contrato mediante la función burn, repitiendo el proceso hasta drenar casi todos los fondos. Los activos robados se encuentran principalmente en las direcciones 0xd12f6e0fa7fbf4e3a1c7996e3f0dd26ab9031a60 (4,267.09 ETH) y 0x273589ca3713e7becf42069f9fb3f0c164ce850a (4,001 ETH). Beosin recomienda actualizar contratos antiguos, implementar mecanismos de pausa de emergencia y realizar auditorías de seguridad para prevenir incidentes similares.

Autor: Beosin

El 9 de enero en la madrugada, un contrato no abierto implementado hace 5 años por Truebit Protocol sufrió un ataque, perdiendo 8,535.36 ETH (valorados en aproximadamente 26.4 millones de dólares). El equipo de seguridad de Beosin realizó un análisis de la vulnerabilidad y el seguimiento de fondos de este incidente de seguridad, y comparte los resultados a continuación:

Análisis de la técnica de ataque

Para este incidente, tomamos como análisis la transacción de ataque más significativa, cuyo hash es: 0xcd4755645595094a8ab984d0db7e3b4aabde72a5c87c4f176a030629c47fb014

1. El atacante llama a getPurchasePrice() para obtener el precio

2. Luego llama a la función defectuosa 0xa0296215(), estableciendo el valor de msg.value extremadamente bajo

Dado que el contrato no es de código abierto, a través del código descompilado se infiere que esta función tiene una vulnerabilidad lógica aritmética, como problemas de truncamiento de enteros, lo que permitió al atacante acuñar con éxito una gran cantidad de tokens TRU.

3. El atacante utiliza la función burn para "vender" los tokens acuñados de vuelta al contrato, extrayendo una gran cantidad de ETH de las reservas del contrato.

Este proceso se repite 4 veces, incrementando el valor de msg.value cada vez, hasta extraer casi todo el ETH del contrato.

Seguimiento de fondos robados

Según los datos de transacciones en cadena, Beosin realizó un seguimiento exhaustivo de los fondos a través de su plataforma de investigación y rastreo en cadena BeosinTrace, y comparte los resultados a continuación:

Actualmente, los 8,535.36 ETH robados, después de ser transferidos, se encuentran en su mayor parte en 0xd12f6e0fa7fbf4e3a1c7996e3f0dd26ab9031a60 y 0x273589ca3713e7becf42069f9fb3f0c164ce850a.

La dirección 0xd12f posee 4,267.09 ETH, y la dirección 0x2735 posee 4,001 ETH. La dirección desde la que el atacante inició el ataque (0x6c8ec8f14be7c01672d31cfa5f2cefeab2562b50) aún tiene 267.71 ETH. Las tres direcciones no han realizado más transferencias de fondos por el momento.

Gráfico de análisis del flujo de fondos robados por Beosin Trace

Todas las direcciones mencionadas han sido marcadas como direcciones de alto riesgo por Beosin KYT. Tomando como ejemplo la dirección del atacante:

Beosin KYT

Conclusión

Los fondos robados en este incidente involucran un contrato inteligente no abierto implementado hace 5 años. Para este tipo de contratos, los proyectos deberían actualizar el contrato, introducir funciones de pausa de emergencia, limitaciones de parámetros y las características de seguridad de las nuevas versiones de Solidity. Además, la auditoría de seguridad sigue siendo un paso esencial para los contratos. A través de auditorías de seguridad, las empresas Web3 pueden detectar de la manera más exhaustiva posible el código del contrato inteligente, encontrar y reparar vulnerabilidades potenciales, mejorando así la seguridad del contrato.

*Beosin proporcionará el informe completo de todos los flujos de fondos y riesgos de direcciones de este incidente. Bienvenidos a solicitarlo a través del correo oficial [email protected].

Preguntas relacionadas

Q¿Qué es el Truebit Protocol y cuánto perdió en el ataque?

ATruebit Protocol es un proyecto de blockchain que sufrió un ataque a un contrato no abierto implementado hace 5 años, perdiendo 8,535.36 ETH (equivalente a aproximadamente 26.4 millones de dólares).

Q¿Cuál fue la principal vulnerabilidad explotada en el ataque según Beosin?

ALa vulnerabilidad explotada fue un problema lógico aritmético en una función no abierta (posiblemente relacionada con truncamiento de enteros), permitiendo al atacante acuñar una gran cantidad de tokens TRU con un msg.value mínimo.

Q¿A qué direcciones se transfirieron la mayoría de los fondos robados?

ALa mayoría de los fondos robados (8,535.36 ETH) fueron transferidos a dos direcciones: 0xd12f6e0fa7fbf4e3a1c7996e3f0dd26ab9031a60 (4,267.09 ETH) y 0x273589ca3713e7becf42069f9fb3f0c164ce850a (4,001 ETH).

Q¿Qué herramienta utilizó Beosin para rastrear el flujo de fondos?

ABeosin utilizó su plataforma de investigación y rastreo en cadena BeosinTrace para realizar un seguimiento detallado del flujo de fondos robados.

Q¿Qué recomendaciones de seguridad sugiere Beosin después de este incidente?

ABeosin recomienda actualizar contratos no abiertos, introducir funciones de pausa de emergencia, limitaciones de parámetros, características de seguridad de nuevas versiones de Solidity y realizar auditorías de seguridad para detectar y reparar vulnerabilidades.

Lecturas Relacionadas

Un contratista vinculado a Corea del Norte se infiltró en MetaMask durante un mes: la verdadera vulnerabilidad de los proyectos de cripto no está en el código

Un contratista vinculado a Corea del Norte obtuvo acceso al repositorio de código de MetaMask a través de un proveedor externo entre el 9 de marzo y abril, según informa Consensys. La empresa afirma que la investigación no reveló robos de activos o datos, implementación de código malicioso ni impacto en la seguridad de los usuarios. El incidente subraya una vulnerabilidad crítica en la gestión de subcontratación en proyectos cripto. Un informe interno señala que aproximadamente el 76% de los fondos robados en DeFi durante el primer semestre de 2026 provinieron de fallos operativos (accesos, custodia, firmas), no de vulnerabilidades de código. Las recomendaciones clave incluyen: verificación de identidad rigurosa y continua para contratistas, auditoría de proveedores terceros, principio de privilegio mínimo para accesos al código, revisión independiente de cada cambio en producción, y revocación inmediata de permisos cuando no sean necesarios. Consensys implementó una suspensión de lanzamientos durante la investigación, destacando la necesidad de protocolos predefinidos para pausar cambios ante amenazas.

marsbitHace 12 min(s)

Un contratista vinculado a Corea del Norte se infiltró en MetaMask durante un mes: la verdadera vulnerabilidad de los proyectos de cripto no está en el código

marsbitHace 12 min(s)

Del oro al Bitcoin: ¿Oferta fija + frenesí institucional = repetición de la 'explosión' de precios?

"De los lingotes de oro a los bits: ¿La oferta limitada y el fervor institucional repetirán una explosión de precios? Los analistas señalan que los ETF de Bitcoin, aprobados en 2024 y de rápido crecimiento, podrían seguir el camino de los ETF de oro, que en 22 años impulsaron el precio del metal y su capitalización de mercado a casi 28 billones de dólares. Ambos activos, como reservas de valor sin rendimiento, dependen de la oferta casi fija y del sentimiento de los inversores, lo que lleva a ciclos de subidas espectaculares, correcciones dolorosas y largas recuperaciones que elevan máximos históricos. A pesar de una caída de más del 50% desde octubre de 2025, la confianza a largo plazo se mantiene. La comparación con el oro es relevante: la demanda institucional a través de ETF, como el iShares de BlackRock (IBIT), actúa como un pilar clave, atenuando la presión vendedora. La adopción por parte de empresas y la facilidad de acceso a través de ETF amplifican la elasticidad de la demanda. Sin embargo, las salidas masivas de fondos podrían interrumpir las tendencias alcistas. El futuro de Bitcoin estará marcado por la volatilidad inherente al mercado, influenciada por el entorno macroeconómico, la regulación y el comportamiento institucional. Si Bitcoin logra capturar incluso una fracción de la capitalización de mercado del oro como reserva de valor digital, el potencial de apreciación es enorme. Para los inversores, la clave radica en la racionalidad, la diversificación y el enfoque en las tendencias a largo plazo, ya que la historia de transformación de activo marginal a activo principal podría estar solo comenzando."

Foresight NewsHace 28 min(s)

Del oro al Bitcoin: ¿Oferta fija + frenesí institucional = repetición de la 'explosión' de precios?

Foresight NewsHace 28 min(s)

¿Por qué es difícil popularizar las compras con agentes de IA?

**¿Por qué los agentes de IA para compras no se han popularizado?** La idea de dar a un agente de IA una billetera para que compre de forma autónoma suena futurista, pero confunde los desafíos reales de las compras. El acto de comprar combina dos acciones: **recuperación de información** (que se puede automatizar) y **juicios de valor** subjetivos (ligados a las emociones humanas). La narrativa del "monedero de IA" asume erróneamente que la IA puede hacerse cargo de ambas. El juicio de valor se divide en: **definir la necesidad** (establecer criterios) y **evaluar** opciones. La IA solo puede automatizar la evaluación. Las preferencias humanas no son fijas; se construyen durante el proceso de elección, por lo que la delegación total es imposible. La línea divisoria clave no es si un producto es estándar o personalizado, sino si **el acto de elegir en sí tiene valor experiencial**. Para productos mundanos (por ejemplo, papel), la automatización total es adecuada. Para compras placenteras (vino, muebles), la elección es parte del disfrute; aquí, la IA debe actuar como un asistente que filtra opciones, dejando la decisión final al humano. Existe un trilema: si la IA pregunta demasiado, es molesto y distorsiona la elección; si se basa solo en el historial, sofoca la exploración; si el humano decide todo, es ineficiente. Una solución es la **interacción por reconocimiento**: la IA presenta unas pocas opciones preseleccionadas para que el humano elija. El **pago es el eslabón menos importante**. No es necesario dar fondos a la IA; basta con tokens de pago de autorización limitada y única, como ya implementan Stripe, Mastercard y Google. La custodia autónoma de billeteras por parte de la IA es relevante principalmente para **compras empresariales estandarizadas** (B2B) o transacciones entre máquinas (M2M), no para el consumo personal. Los verdaderos cuellos de botella para las compras con IA son: 1. **Falta de fuentes de datos confiables**: reseñas falsas y productos falsificados socavan la capacidad de la IA para evaluar con precisión. 2. **La imposibilidad de automatizar la definición de la necesidad humana**: el derecho a definir qué es importante y a disfrutar de la elección final debe permanecer en manos humanas. En conclusión, el futuro no está en que la IA compre por nosotros de forma autónoma, sino en que **automatice de forma segura la investigación y el filtrado, devolviendo al humano el control sobre los criterios y el placer de la elección final**. Para las plataformas, la ventaja competitiva radicará en ofrecer una experiencia de elección excepcional con datos estructurados y verificables.

Foresight NewsHace 1 hora(s)

¿Por qué es difícil popularizar las compras con agentes de IA?

Foresight NewsHace 1 hora(s)

zcashd se apaga, Zcash entra en la era Ironwood: ¿Es la privacidad resistente a la cuántica el futuro?

Zcash ha completado su transición de infraestructura, retirando el software original zcashd y adoptando Zebra y Zakura, lo que fortalece la mantenibilidad y prepara la red para la era Ironwood. A pesar de una vulnerabilidad en los fondos protegidos de Orchard, que contenía el 85% del valor blindado, la respuesta coordinada y una rápida solución de emergencia contuvieron la amenaza. La actividad de la red se mantuvo resiliente: aunque los saldos blindados disminuyeron un 14%, las transacciones privadas aumentaron un 11,1% trimestral y el conjunto de anonimato se expandió significativamente. El volumen diario de trading también creció un 33,8%. Con Ironwood, Zcash avanza hacia una seguridad a largo plazo reforzada mediante verificación formal y resistencia cuántica, consolidando la confianza en su infraestructura de privacidad.

ambcryptoHace 1 hora(s)

zcashd se apaga, Zcash entra en la era Ironwood: ¿Es la privacidad resistente a la cuántica el futuro?

ambcryptoHace 1 hora(s)

Después de nueve meses de ventas cortas, un giro completo a la compra: reconocido trader acumula Bitcoin cerca de 64,000 USD, división alcista/bajista en el mercado de criptomonedas se intensifica

Tras nueve meses de bajista, el conocido trader Doctor Profit cierra todas sus posiciones en corto y comienza a comprar Bitcoin alrededor de 64.000 dólares. Argumenta que variables estructurales, como la posible aprobación de la Ley CLARITY y la tokenización institucional, están alterando el ciclo de cuatro años, anticipando un fondo más temprano. El analista gumsays señala una divergencia alcista semanal de 147 días, cercana a los 161 días previos al fondo de 2022. En contraste, el investigador Jake Pahor analiza datos desde 2014 y destaca que este ciclo no cumple tres condiciones históricas de fondo: duración (~12 meses), miedo extremo prolongado (índice por debajo de 20) y precio por debajo del costo promedio real (~53.000 dólares). Actualmente, ninguna se ha cumplido. El mercado debate si los ETF y la regulación cambian las reglas del juego. Doctor Profit apuesta por un fondo anticipado, mientras Pahor mantiene una estrategia de acumulación gradual, reservando mayor capital para señales más extremas. Bitcoin cotiza cerca de 64.800 dólares, justo sobre su media móvil de 200 semanas, con un índice de miedo y codicia en 25 (miedo extremo).

marsbitHace 1 hora(s)

Después de nueve meses de ventas cortas, un giro completo a la compra: reconocido trader acumula Bitcoin cerca de 64,000 USD, división alcista/bajista en el mercado de criptomonedas se intensifica

marsbitHace 1 hora(s)

Trading

Spot
活动图片

Categorías popularesright-arrow

Etiquetas Popularesright-arrow