Pertes dépassant 26 millions de dollars, analyse de l'incident de sécurité du Truebit Protocol et suivi des flux de fonds volés

marsbitPublié le 2026-01-09Dernière mise à jour le 2026-01-09

Résumé

Le protocole Truebit a subi une attaque le 9 janvier, entraînant une perte de 8 535,36 ETH (environ 26,4 millions de dollars). L’attaque a exploité un contrat non open source déployé il y a cinq ans. L’analyse de Beosin révèle que l’attaquant a utilisé une fonction non documentée (0xa0296215) avec une valeur msg.value minime, profitant d’une faille de type dépassement arithmétique pour frapper massivement des jetons TRU. Ensuite, l’attaquant les a revendus au contrat via la fonction burn, drainant ainsi les réserves d’ETH. Les fonds volés, soit 8 535,36 ETH, ont été majoritairement transférés vers deux adresses : 0xd12f6e0fa7fbf4e3a1c7996e3f0dd26ab9031a60 (4 267,09 ETH) et 0x273589ca3713e7becf42069f9fb3f0c164ce850a (4 001 ETH). Le reste (267,71 ETH) se trouve toujours sur l’adresse de l’attaquant. Aucun autre mouvement n’a été observé pour le moment. Beosin recommande aux projets utilisant des anciens contrats non audités de les mettre à jour, d’ajouter des mécanismes de pause d’urgence et de réaliser des audits de sécurité rigoureux.

Auteur : Beosin

Le 9 janvier à l'aube, un contrat non open source déployé il y a 5 ans par Truebit Protocol a été attaqué, entraînant une perte de 8 535,36 ETH (d'une valeur d'environ 26,4 millions de dollars). L'équipe de sécurité de Beosin a réalisé une analyse de la vulnérabilité et du suivi des fonds pour cet incident de sécurité, et partage les résultats ci-dessous :

Analyse de la méthode d'attaque

Pour cet incident, nous prenons comme principale analyse la transaction d'attaque suivante, dont le hash est : 0xcd4755645595094a8ab984d0db7e3b4aabde72a5c87c4f176a030629c47fb014

1. L'attaquant appelle getPurchasePrice() pour obtenir le prix

2. Il appelle ensuite la fonction défectueuse 0xa0296215(), en définissant une valeur msg.value extrêmement faible

Le contrat n'étant pas open source, le code décompilé suggère que cette fonction présente une vulnérabilité de logique arithmétique, comme un problème de troncature d'entier, permettant à l'attaquant de frapper avec succès un grand nombre de jetons TRU.

3. L'attaquant utilise la fonction burn pour « revendre » les jetons frappés au contrat, extrayant ainsi une grande quantité d'ETH des réserves du contrat.

Ce processus est répété 4 fois, la valeur de msg.value augmentant à chaque fois, jusqu'à ce que presque tout l'ETH du contrat soit extrait.

Suivi des fonds volés

Sur la base des données de transaction on-chain, Beosin a effectué un suivi détaillé des fonds via sa plateforme d'enquête et de suivi blockchain BeosinTrace, et partage les résultats ci-dessous :

Actuellement, les 8 535,36 ETH volés ont été transférés et la grande majorité est détenue sur les adresses 0xd12f6e0fa7fbf4e3a1c7996e3f0dd26ab9031a60 et 0x273589ca3713e7becf42069f9fb3f0c164ce850a.

L'adresse 0xd12f détient 4 267,09 ETH, et l'adresse 0x2735 détient 4 001 ETH. L'adresse à partir de laquelle l'attaquant a lancé l'attaque (0x6c8ec8f14be7c01672d31cfa5f2cefeab2562b50) détient encore 267,71 ETH. Aucun transfert supplémentaire n'a été observé depuis ces trois adresses pour le moment.

Diagramme du flux des fonds volés par Beosin Trace

Toutes ces adresses ont été marquées comme adresses à haut risque par Beosin KYT, prenons l'exemple de l'adresse de l'attaquant :

Beosin KYT

Conclusion

Les fonds volés concernent un contrat intelligent non open source déployé il y a 5 ans. Pour ce type de contrat, les projets devraient procéder à une mise à niveau du contrat, en introduisant une fonction d'arrêt d'urgence, des limites de paramètres et les nouvelles fonctionnalités de sécurité de Solidity. De plus, l'audit de sécurité reste une étape essentielle pour les contrats. Grâce à un audit de sécurité, les entreprises Web3 peuvent détecter de manière aussi complète que possible le code des contrats intelligents, identifier et corriger les vulnérabilités potentielles, et améliorer la sécurité des contrats.

*Beosin fournira le rapport complet de l'analyse de tous les flux de fonds et des risques liés aux adresses pour cet incident. N'hésitez pas à le demander via l'e-mail officiel [email protected].

Questions liées

QQuel est le montant total des pertes subies par Truebit Protocol lors de cet incident de sécurité ?

ATruebit Protocol a subi des pertes de 8 535,36 ETH, d'une valeur d'environ 26,4 millions de dollars.

QQuelle est la fonction vulnérable qui a permis à l'attaquant de frapper un grand nombre de jetons TRU ?

ALa fonction vulnérable est la fonction non open-source 0xa0296215(), qui présentait une faille de logique arithmétique, probablement un problème de troncature d'entier.

QQuelles sont les deux principales adresses où la majorité des fonds volés ont été stockés ?

ALa majorité des fonds volés sont stockés sur les adresses 0xd12f6e0fa7fbf4e3a1c7996e3f0dd26ab9031a60 (4 267,09 ETH) et 0x273589ca3713e7becf42069f9fb3f0c164ce850a (4 001 ETH).

QQuel outil Beosin a-t-il utilisé pour effectuer le suivi détaillé des fonds sur la blockchain ?

ABeosin a utilisé sa plateforme d'enquête et de suivi sur la blockchain, BeosinTrace, pour effectuer le suivi détaillé des fonds.

QQuelles mesures les projets sont-ils invités à prendre pour améliorer la sécurité de leurs contrats après cet incident ?

ALes projets sont invités à mettre à niveau leurs contrats pour inclure une fonction d'arrêt d'urgence, des limites de paramètres et les nouvelles fonctionnalités de sécurité de Solidity. Un audit de sécurité est également fortement recommandé.

Lectures associées

BitMine ajoute 7 430 ETH, dépense 86 millions de dollars en rachats d'actions – Pourquoi ?

Bitmine a considérablement réduit son accumulation d'Ethereum (ETH) la semaine dernière, n'achetant que 7 430 ETH, son plus faible achat hebdomadaire depuis mai. La société a dépensé environ 13 millions de dollars pour ces nouveaux ETH, mais a priorisé les retours aux actionnaires en consacrant environ 86 millions de dollars au rachat de 5,5 millions d'actions ordinaires. Malgré ce ralentissement, le trésor de Bitmine reste colossal avec 5 777 468 ETH, soit 4,8 % de l'offre en circulation d'Ethereum, se rapprochant ainsi de son objectif à long terme de détenir 5 % de tous les ETH. Depuis le lancement de sa stratégie sur le trésor Ethereum en juin 2025, l'entreprise a presque atteint cet objectif en seulement 12 mois. Par ailleurs, Bitmine a déjà mis en stake 4,92 millions d'ETH (environ 85 % de ses avoirs) via sa plateforme MAVAN, projetant un revenu annuel de staking d'environ 247 millions de dollars. Cette décision intervient alors que le prix de l'ETH a augmenté de 7,44 % sur la semaine précédente.

ambcryptoIl y a 21 mins

BitMine ajoute 7 430 ETH, dépense 86 millions de dollars en rachats d'actions – Pourquoi ?

ambcryptoIl y a 21 mins

9,42 millions de particuliers se ruent sur Changxin Technology, qui a été attribué ?

Les résultats de l'offre publique initiale (IPO) de Changxin Technology sont publiés. L'émission a attiré 942 880 investisseurs particuliers et 285 institutions, avec un nombre record d'actions allouées en ligne. Le taux de succès pour les particuliers s'élève à environ 0,4714%, le plus élevé jamais enregistré pour une nouvelle action sur le marché STAR. Après un mécanisme de rapatriement des actions, le nombre d'actions offertes en ligne a été porté à 3,851 milliards, représentant 50,07% du total. Environ 7,7 millions de numéros gagnants ont été attribués. Les estimations suggèrent qu'un gain potentiel pour un lot gagnant (500 actions) pourrait se situer entre 10 600 et 25 600 yuans selon la valorisation boursière post-introduction. Côté institutions, 285 investisseurs ont reçu 2,173 milliards d'actions, avec un taux d'allocation de 0,1756%. Taikang Asset Management a été la plus grande bénéficiaire. Parmi les fonds communs de placement, E Fund, Southern Fund et ICBC Credit Suisse Trust sont en tête. Dans la catégorie des fonds privés, Liang Wenfeng, fondateur de la société d'IA DeepSeek, via ses entités Ningbo Fantasia Quant et Zhejiang Jiuzhang Asset, a obtenu la plus grande part, avec une allocation d'environ 202,5 millions d'actions d'une valeur de 1,75 milliard de yuans. Des gains potentiels pour ses fonds sont estimés à 7,3 milliards de yuans si la capitalisation atteint 3 000 milliards de yuans. Le Fonds de sécurité sociale national figurait parmi les 30 investisseurs stratégiques, ayant reçu pour 144,37 milliards de yuans d'actions avec une période de blocage. La société devrait être cotée vers le 27 juillet. Les valorisations anticipées par les analystes vont de 1 000 à 4 250 milliards de yuans, malgré des récentes corrections sur les marchés technologiques mondiaux qui pourraient influencer ses débuts en bourse.

marsbitIl y a 45 mins

9,42 millions de particuliers se ruent sur Changxin Technology, qui a été attribué ?

marsbitIl y a 45 mins

USCR crypto se stabilise à 0,0022 $ : le memecoin peut-il inverser les pertes du Q2 ?

La crypto-monnaie USCR, un memecoin lié aux réserves cryptographiques officielles des États-Unis, tente de se redresser après être tombée à un plus bas de deux mois à 0,0022 $. En mai, son cours avait explosé de plus de 65% pour atteindre 0,0036 $, avant un effondrement de 37% en juin. Les cours se stabilisent désormais autour du plus bas de mai. Une reprise pourrait voir le prix cibler 0,0028 $ (niveau de retracement de Fibonacci à 50%), voire le sommet de mai à 0,0036 $, représentant un potentiel de hausse de 30 à 60%. Cependant, cette perspective est étroitement liée aux incertitudes entourant la création potentielle d'une réserve stratégique américaine de Bitcoin (BTC). Les probabilités de sa mise en place avant 2027 sont tombées à 18%, ce qui a pesé sur le sentiment autour de l'USCR. Malgré ce contexte législatif incertain, le nombre de détenteurs du memecoin reste élevé à 48 000, n'ayant diminué que légèrement par rapport au début 2026, indiquant une conviction persistante parmi les investisseurs. La reprise du cours dépendra donc principalement des progrès futurs du projet de loi sur la réserve de BTC.

ambcryptoIl y a 1 h

USCR crypto se stabilise à 0,0022 $ : le memecoin peut-il inverser les pertes du Q2 ?

ambcryptoIl y a 1 h

Une "déesse de la charité" de 3 millions d'abonnés entièrement créée par IA, un orphelinat factice, un "faux philanthrope" transnational s'effondre du jour au lendemain

**[Guide] Scandale : Une influenceuse australienne prétendant aider des orphelins avec 3 millions d'abonnés a été démasquée pour avoir utilisé l'IA afin de créer de fausses images et vidéos de son oeuvre caritative.** L'ABC révèle que Lily Jay, une influenceuse australienne convertie à l'islam avec près de 3 millions d'abonnés, a orchestré une vaste escroquerie caritative en utilisant l'intelligence artificielle. Sa fondation, le "Lily Jay Foundation", prétendait construire des mosquées, distribuer de la nourriture à Gaza et gérer un orphelinat en Ouganda. Cependant, l'enquête montre que des vidéos clés, notamment celle de l'inauguration de l'orphelinat où des enfants tiennent des sucettes, étaient intégralement générées par IA, avec des incohérences typiques comme des erreurs de texte sur les vêtements. Aucune trace de l'orphelinat "Ada Nur" ou de la boulangerie à Gaza n'a pu être vérifiée sur place. Un trophée "humanitaire" présenté en mai 2026 portait le filigrane invisible d'un générateur d'images AI. Le site web de la fondation admettait discrètement ne pas être un organisme de bienfaisance enregistré, échappant ainsi aux obligations de transparence financière. Opérant depuis Chypre et le Kosovo, Lily Jay (de son vrai nom Lily Jay Hinson) mène une vie luxueuse sur ses réseaux personnels. Après les questions de l'ABC, le site a modifié son contenu pour les visiteurs australiens, supprimant les options de don et les pages compromettantes, tout en les conservant pour le public international. Les experts alertent sur la dangerosité de ces escroqueries qui exploitent la générosité et la volonté de croire en de belles histoires. À l'ère du deepfake, la défense reste un questionnement critique : est-ce vrai ?

marsbitIl y a 1 h

Une "déesse de la charité" de 3 millions d'abonnés entièrement créée par IA, un orphelinat factice, un "faux philanthrope" transnational s'effondre du jour au lendemain

marsbitIl y a 1 h

L2 « recalibrage » : quand L1 devient son propre Rollup, quel est le destin final d’Ethereum ?

"L2 Recalibration": When L1 Becomes Its Own Rollup, What Is Ethereum's Endgame? In recent years, the proliferation of L2s (Rollups) has solved Ethereum's scalability issues but at the cost of fragmenting liquidity, user states, and the unified chain experience. This has prompted a fundamental reevaluation of the relationship between L1 and L2 within the Ethereum community. Ethereum's roadmap is evolving. The core challenge is no longer just creating more block space, but redefining the roles of L1, L2, execution, and settlement layers in a fragmented ecosystem. L1 is actively enhancing its own scalability (increasing Gas Limit, statelessness, zkEVM). Consequently, L2s can no longer rely solely on "cheaper, faster transactions" for long-term value. Their future role shifts towards providing differentiated features (privacy, custom governance, application-specific optimizations) that L1 cannot easily offer uniformly, while still contributing extra capacity. Interoperability is key to restoring a seamless user experience. The goal is not just cross-chain bridges but enabling different execution environments to trust each other's states faster and at lower cost. Initiatives like Open Intents Frameworks and the Ethereum Interoperability Layer (EIL) aim to make cross-L2 interactions feel like single-chain transactions. Crucially, shortening Ethereum's finality time (from minutes to seconds) is a major focus, as it directly benefits cross-chain applications by reducing the trust latency for state changes. A provocative idea from researcher Barnabé Monnot suggests that as proof systems (like zkEVM) mature on mainnet, L1 itself could become a form of "its own Rollup." Here, specialized nodes would execute transactions and generate validity proofs, while validators would verify these proofs instead of re-executing everything. This blurs the traditional L1/L2 hierarchy, making "Rollup" more of a general execution-verification architecture than a strict layer. The vision is a future where multiple L2s act as specialized execution domains (for DeFi, gaming, privacy, etc.) under a shared Ethereum security, settlement, and state framework—a system that is fragmented in execution but unified in trust and liquidity. In conclusion, Ethereum's endgame is not L2s replacing L1 or being made obsolete by a scaled L1. It is an ecosystem where L2s become a spectrum of execution environments with varying features, all capable of securely interoperating and sharing Ethereum's foundational security and liquidity. The next phase is about re-integrating what was fragmented back into a coherent, user-friendly "one chain" experience.

marsbitIl y a 1 h

L2 « recalibrage » : quand L1 devient son propre Rollup, quel est le destin final d’Ethereum ?

marsbitIl y a 1 h

Trading

Spot
活动图片

Catégories populairesright-arrow

Tags tendancesright-arrow