Kerugian Melebihi $26 Juta, Analisis Insiden Keamanan Truebit Protocol dan Pelacakan Aliran Dana yang Dicuri

marsbitDipublikasikan tanggal 2026-01-09Terakhir diperbarui pada 2026-01-09

Abstrak

Penulis: Beosin Pada 9 Januari dini hari, kontrak tidak terbuka sumber (unopen-sourced) yang telah diterapkan Truebit Protocol 5 tahun lalu diserang, mengakibatkan kerugian 8.535,36 ETH (senilai sekitar $26,4 juta). Tim keamanan Beosin telah menganalisis kerentanan dan melacak aliran dana, dengan hasil sebagai berikut: **Analisis Teknik Serangan:** Serangan memanfaatkan kerentanan logika aritmatika (kemungkinan truncation integer) pada fungsi yang tidak terbuka. Penyerang memanggil `getPurchasePrice()` untuk mendapatkan harga, lalu memanggil fungsi cacat `0xa0296215()` dengan `msg.value` yang sangat kecil. Ini memungkinkan penyerang mencetak sejumlah besar token TRU secara tidak sah. Token ini kemudian "dijual kembali" ke kontrak melalui fungsi `burn`, memungkinkan penyerang menarik sejumlah ETH dari cadangan kontrak. Proses ini diulang beberapa kali hingga hampir semua ETH dalam kontrak berhasil dikuras. **Pelacakan Dana:** Melalui platform BeosinTrace, dana yang dicuri sebanyak 8.535,36 ETH dilacak. Sebagian besar dana saat ini disimpan di dua alamat: - 0xd12f6e0fa7fbf4e3a1c7996e3f0dd26ab9031a60 (menampung 4.267,09 ETH) - 0x273589ca3713e7becf42069f9fb3f0c164ce850a (menampung 4.001 ETH) Alamat penyerang (0x6c8ec8f14be7c01672d31cfa5f2cefeab2562b50) masih menyimpan 267,71 ETH. Semua alamat ini telah ditandai sebagai berisiko tinggi oleh Beosin KYT dan belum ada transfer lebih lanjut. Kesimpulan: Kejadian ini menyoroti pentingnya audit keamanan, memperbarui kontrak lama, da...

Penulis: Beosin

Pada dini hari tanggal 9 Januari, kontrak tidak terbuka yang diterapkan Truebit Protocol 5 tahun lalu diserang, mengalami kerugian 8,535.36 ETH (senilai sekitar $26.4 juta). Tim keamanan Beosin telah melakukan analisis kerentanan dan pelacakan dana terhadap insiden keamanan ini, dan membagikan hasilnya sebagai berikut:

Analisis Teknik Serangan

Dalam peristiwa ini, kami menggunakan satu transaksi serangan utama sebagai analisis, hash transaksinya adalah: 0xcd4755645595094a8ab984d0db7e3b4aabde72a5c87c4f176a030629c47fb014

1. Penyerang memanggil getPurchasePrice() untuk mendapatkan harga

2. Kemudian memanggil fungsi 0xa0296215() yang memiliki cacat, dan menetapkan nilai msg.value sangat kecil

Karena kontrak tidak terbuka, melalui kode yang didekompilasi, diperkirakan fungsi ini memiliki kerentanan logika aritmatika, seperti masalah pemotongan integer, yang menyebabkan penyerang berhasil mencetak sejumlah besar token TRU.

3. Penyerang melalui fungsi burn "menjual kembali" token yang dicetak ke kontrak, dan menarik sejumlah besar ETH dari cadangan kontrak.

Proses ini diulang 4 kali, setiap kali nilai msg.value meningkat, hingga hampir semua ETH dalam kontrak ditarik.

Pelacakan Dana yang Dicuri

Berdasarkan data transaksi on-chain, Beosin melalui platform investigasi dan pelacakan on-chain blockchain BeosinTrace telah melakukan pelacakan dana yang rinci, dan membagikan hasilnya sebagai berikut:

Saat ini, 8,535.36 ETH yang dicuri setelah dipindahkan, sebagian besar disimpan di 0xd12f6e0fa7fbf4e3a1c7996e3f0dd26ab9031a60 dan 0x273589ca3713e7becf42069f9fb3f0c164ce850a.

Di antaranya, alamat 0xd12f memegang 4,267.09 ETH, alamat 0x2735 memegang 4,001 ETH. Alamat penyerang yang memulai serangan (0x6c8ec8f14be7c01672d31cfa5f2cefeab2562b50) masih menyimpan 267.71 ETH, tiga alamat ini belum ada transfer dana lebih lanjut.

Diagram Analisis Aliran Dana yang Dicuri oleh Beosin Trace

Semua alamat di atas telah ditandai oleh Beosin KYT sebagai alamat berisiko tinggi, contohnya alamat penyerang:

Beosin KYT

Kesimpulan

Dana yang dicuri ini melibatkan kontrak pintar tidak terbuka dari 5 tahun lalu. Untuk kontrak semacam ini, pihak proyek harus meningkatkan kontrak, memperkenalkan fitur darurat, pembatasan parameter, serta fitur keamanan Solidity versi baru. Selain itu, audit keamanan tetap merupakan langkah yang sangat diperlukan untuk kontrak. Melalui audit keamanan, perusahaan Web3 dapat mendeteksi kode kontrak pintar selengkap mungkin, menemukan dan memperbaiki kerentanan potensial, serta meningkatkan keamanan kontrak.

*Beosin akan menyediakan laporan analisis lengkap semua aliran dana dan risiko alamat dari peristiwa ini, silakan ambil melalui email resmi [email protected].

Pertanyaan Terkait

QApa yang terjadi pada Truebit Protocol pada 9 Januari?

ATruebit Protocol mengalami serangan keamanan pada kontrak yang tidak terbuka sumbernya yang telah diterapkan 5 tahun lalu, mengakibatkan kerugian 8.535,36 ETH (senilai sekitar $26,4 juta).

QBagaimana cara penyerang mengeksploitasi kerentanan dalam kontrak Truebit?

APenyerang memanggil fungsi getPurchasePrice() untuk mendapatkan harga, kemudian memanggil fungsi 0xa0296215() yang cacat dengan msg.value yang sangat kecil, memanfaatkan kerentanan logika aritmatika seperti pemotongan integer untuk mencetak banyak token TRU, lalu membakarnya untuk mengekstrak ETH dari cadangan kontrak.

QKe mana saja dana yang dicuri dialihkan?

ASebagian besar dana yang dicuri (8.535,36 ETH) dialihkan ke dua alamat: 0xd12f6e0fa7fbf4e3a1c7996e3f0dd26ab9031a60 (memegang 4.267,09 ETH) dan 0x273589ca3713e7becf42069f9fb3f0c164ce850a (memegang 4.001 ETH). Alamat penyerang (0x6c8ec8f14be7c01672d31cfa5f2cefeab2562b50) masih menyimpan 267,71 ETH.

QApa rekomendasi Beosin untuk meningkatkan keamanan kontrak pintar setelah insiden ini?

ABeosin merekomendasikan untuk meningkatkan kontrak dengan memperkenalkan jeda darurat, pembatasan parameter, dan fitur keamanan versi Soliditas baru. Audit keamanan juga sangat penting untuk mendeteksi dan memperbaiki kerentanan potensial.

QBagaimana Beosin melacak dan menandai alamat yang terlibat dalam serangan ini?

ABeosin menggunakan platform pelacakan dan investigasi blockchain BeosinTrace untuk melacak aliran dana. Semua alamat yang terlibat telah ditandai sebagai alamat berisiko tinggi dalam Beosin KYT (Know Your Transaction).

Bacaan Terkait

Dialog dengan Ray Dalio: Saat Ini Berada dalam Gelembung AI, 1% Portofolio Investasi Adalah Bitcoin

Sumber: The Diary Of A CEO Ray Dalio, pendiri Bridgewater Associates yang meramalkan krisis keuangan 2008, memperingatkan bahwa ledakan AI saat ini menunjukkan tanda-tanda klasik gelembung ekonomi yang dapat pecah dan memicu resesi. Dalam wawancara podcast, dia menjelaskan dinamika "siklus besar" yang didorong oleh ketimpangan kekayaan, defisit pemerintah, dan perubahan geopolitik. Dalio mengidentifikasi pola di mana antusiasme berlebihan terhadap teknologi revolusioner baru, seperti AI, menyebabkan harga aset melambung dan pinjaman berlebihan. Ketika kondisi berubah (seperti kenaikan suku bunga atau kebutuhan tunai), gelembung ini dapat pecah, menyebabkan penurunan harga aset, kerugian luas, dan kontraksi ekonomi. Untuk melindungi kekayaan di masa ketidakpastian, Dalio sangat menekankan pentingnya **diversifikasi portofolio**—termasuk saham, obligasi, emas, dan real estat—daripada mengandalkan uang tunai saja. Dia mengungkapkan bahwa sekitar **1% portofolionya adalah Bitcoin**, yang diakuinya sebagai aset keras, tetapi dia lebih menyukai **emas fisik** karena sejarahnya sebagai penyimpan nilai dan aset bebas liabilitas. Mengenai dampak AI, Dalio percaya bahwa teknologi ini akan menggantikan tidak hanya tenaga fisik tetapi juga kemampuan kognitif manusia, berpotensi memperlebar kesenjangan antara pemilik modal dan pekerja. Masa depan akan menguntungkan mereka yang dapat memadukan kecerdasan manusia (seperti emosi dan intuisi) dengan kemitraan AI. Secara geopolitik, Dalio menggambarkan dunia yang memasuki fase "penurunan" dalam tatanan global, dengan Amerika Serikat menghadapi tantangan internal dan eksternal, termasuk konflik seperti di Iran yang mengungkap kelemahannya. Dia memprediksi dunia mungkin menjadi lebih terregionalisasi di masa depan. Secara keseluruhan, kunci untuk navigasi melalui periode kompleks ini adalah pemahaman akan pola sejarah, adaptasi, dan diversifikasi yang cermat.

marsbit1j yang lalu

Dialog dengan Ray Dalio: Saat Ini Berada dalam Gelembung AI, 1% Portofolio Investasi Adalah Bitcoin

marsbit1j yang lalu

Rekor! Beli Bersih Asing 7,2 Triliun Won dalam Sehari, Wall Street: Tekanan Likuiditas di Pasar Saham Korea Telah Mereda

**Ringkasan: Rekor Pembelian Asing dan Peningkatan Likuiditas di Pasar Saham Korea** Aliran modal asing menunjukkan perubahan signifikan di pasar saham Korea (KOSPI). Pada 31 Juli, investor asing melakukan pembelian bersih rekor sebesar 7,2 triliun Won Korea dalam sehari, menandai pembalikan dari tren penjualan bersih besar-besaran dalam beberapa bulan terakhir. Secara bulanan, penjualan bersih asing menyusut drastis menjadi 9,8 triliun Won di Juli, turun dari 48,4 triliun dan 44,5 triliun Won pada Juni dan Mei. Tekanan penjualan dari lembaga domestik juga mereda. Dana pensiun dan reksa dana domestik justru menjadi pembeli bersih 1,0 triliun Won di Juli, setelah dua bulan sebelumnya menjadi penjual bersih. Faktor pendukung lainnya adalah peraturan baru dari Komisi Jasa Keuangan (FSC) yang memberlakukan syarat lebih ketat bagi investor ritel untuk masuk ke ETF leverage saham tunggal, yang langsung mengurangi volume perdagangan instrumen tersebut hingga sekitar 50%. Kebijakan ini diperkirakan dapat menekan volatilitas pasar. Citigroup mempertahankan target indeks KOSPI di level 10.000 poin, menyoroti memudarnya angin penentu likuiditas. Analis mereka menilai faktor fundamental seperti industri chip memori yang solid, valuasi historis yang rendah, fundamental ekonomi Korea yang kuat, dan dukungan kebijakan berpotensi menjadi pendorong bagi pasar.

marsbit1j yang lalu

Rekor! Beli Bersih Asing 7,2 Triliun Won dalam Sehari, Wall Street: Tekanan Likuiditas di Pasar Saham Korea Telah Mereda

marsbit1j yang lalu

Pembaruan! AI Generasi Berikut OpenAI Pecahkan 10 Masalah Kelas Medali Fields

**OpenAI Model Astra Pecahkan 10 Masalah Matematika Kelas Fields Medal!** OpenAI mengumumkan terobosan besar dari model internal terbarunya, Astra. Model ini dilaporkan telah membuat kemajuan signifikan dalam **10 masalah matematika yang belum terpecahkan**, dengan biaya komputasi hanya sekitar **$2000**. Hasilnya dipublikasikan dalam makalah setebal 249 halaman. Beberapa pencapaian utama meliputi: 1. **Menyelesaikan masalah "non-sofic group"** yang diajukan Mikhail Gromov tahun 1999, dengan membangun contoh kelompok yang tak hingga dan finitely presented yang bukan sofic. Ini dianggap sebagai kemajuan bersejarah. 2. **Memecahkan batas lama dalam masalah pengepakan bola berdimensi tinggi** (sphere packing), meningkatkan batas yang telah bertahan sejak 1978 untuk dimensi tak hingga. 3. **Menyangkal dugaan "Connes Rigidity"** dengan membangun keluarga tak terhitung dari kelompok berbeda yang menghasilkan aljabar von Neumann yang sama persis. Semua bukti telah diverifikasi menggunakan asisten pembuktian formal Lean 4, memastikan ketepatannya. Para ahli matematika menyebut temuan ini sebagai **momen bersejarah**, setara dengan prestasi penghargaan Fields Medal, dan menandai kemampuan AI untuk melakukan penalaran matematika mendalam di berbagai bidang. OpenAI juga membagikan proses penalaran model, menunjukkan langkah maju yang besar menuju AGI (Artificial General Intelligence).

marsbit2j yang lalu

Pembaruan! AI Generasi Berikut OpenAI Pecahkan 10 Masalah Kelas Medali Fields

marsbit2j yang lalu

Bagaimana Membuat Diri Sendiri Tak Tergantikan oleh Kecerdasan Buatan

**Ringkasan: Bagaimana Membuat Diri Anda Tak Tergantikan oleh AI** Artikel ini membahas ancaman nyata dalam era AI: bukan kehilangan pekerjaan, tetapi "perbudakan gaji"—ketergantungan pada sistem dan orang lain untuk bertahan hidup. Solusinya adalah menjadi "individu super" yang "tak bisa dipekerjakan" dengan membangun bisnis atau karya sendiri. Kunci untuk bertahan dan berkembang di masa depan bukan sekadar keterampilan teknis, tetapi menguasai lima elemen yang sulit digantikan AI: 1. **Otonomi (Agency):** Kemampuan bertindak tanpa menunggu perintah. 2. **Rasa (Taste):** Pengalaman untuk mengetahui apa yang bernilai untuk ditawarkan. 3. **Kemampuan Persuasi (Persuasion):** Keterampilan menarik perhatian dan pengakuan. 4. **Ketekunan (Persistence):** Memahami bahwa kegagalan adalah bagian dari proses. 5. **Iterasi (Iteration):** Kemampuan memperbaiki kesalahan berdasarkan umpan balik. Lima elemen ini dapat dikembangkan dengan **membuat konten** (media). Dibandingkan pemrograman (code), konten lebih unggul karena nilainya subjektif, membutuhkan penilaian manusia, dan merupakan alat distribusi yang ampuh untuk membangun koneksi dan otoritas. Untuk memulai transformasi: 1. **Ubah lingkungan** Anda secara drastis untuk memicu perubahan identitas. 2. **Gali "bahan mentah"** Anda: Identifikasi pengetahuan mendalam, masalah yang pernah Anda selesaikan, dan minat unik masa kecil Anda. 3. **Temukan "poros pemikiran balik"**: Tentukan pendapat kontra-intuitif atau keyakinan Anda yang bertentangan dengan arus utama dalam bidang Anda. 4. **Luncurkan ide pertama** Anda besok. Gabungkan jawaban dari langkah 2 dan 3, lalu publikasikan. Umpan balik nyata dari dunia adalah guru terbaik. Intinya, bangunlah *karier seumur hidup* yang autentik berdasarkan pengalaman dan sudut pandang unik Anda. Dengan memanfaatkan AI sebagai alat dan fokus pada pengembangan diri yang tak tergantikan, Anda dapat mengambil kendali atas hidup dan masa depan Anda.

marsbit3j yang lalu

Bagaimana Membuat Diri Sendiri Tak Tergantikan oleh Kecerdasan Buatan

marsbit3j yang lalu

Kunci Bitcoin Disimpan Offline Berkat Lemparan Dadu, Tetapi Tidak Semua Orang Akan Melakukannya

Berdasarkan insiden kerentanan generator angka acak pada perangkat hardware wallet Coldcard, artikel ini membahas metode pembuatan kunci Bitcoin menggunakan dadu untuk menghasilkan entropi mandiri. Claude Shannon mengukur ketidakpastian dengan konsep entropi, di mana satu lemparan dadu enam sisi setara dengan sekitar 2,585 bit. Praktik melempar dadu 50 hingga 99 kali dapat menghasilkan frasa pemulihan 12 kata yang aman (128 bit entropi), melampaui ketergantungan pada generator perangkat. Namun, insiden Coldcard mengungkap bahwa meskipun seed utama dibuat dari dadu aman, fungsi lain seperti dompet kertas, kunci kloning, dan password masih berpotensi menggunakan generator cacat. Peneliti keamanan Kevin Loaec menekankan bahwa perlindungan hanya berlaku untuk seed utama, bukan keseluruhan sistem. Proses manual ini membutuhkan ketelitian tinggi, rentan kesalahan, dan tidak praktis bagi kebanyakan pengguna baru. Oleh karena itu, meski kuat secara matematis, metode ini lebih cocok untuk pengguna berpengalaman. Artikel menyarankan pemilik Coldcard untuk memperbarui firmware, memeriksa fungsi yang pernah digunakan, dan mempertimbangkan skema multisignature dengan perangkat dari produsen berbeda untuk mitigasi risiko. Tujuan jangka panjang adalah perangkat yang dapat menghasilkan keacakan kuat secara mandiri, tanpa memerlukan prosedur rumit dari pengguna.

cryptonews.ru6j yang lalu

Kunci Bitcoin Disimpan Offline Berkat Lemparan Dadu, Tetapi Tidak Semua Orang Akan Melakukannya

cryptonews.ru6j yang lalu

Trading

Spot
活动图片

Kategori Populerright-arrow

Tag Populerright-arrow