Kerugian Melebihi $26 Juta, Analisis Insiden Keamanan Truebit Protocol dan Pelacakan Aliran Dana yang Dicuri

marsbitDipublikasikan tanggal 2026-01-09Terakhir diperbarui pada 2026-01-09

Abstrak

Penulis: Beosin Pada 9 Januari dini hari, kontrak tidak terbuka sumber (unopen-sourced) yang telah diterapkan Truebit Protocol 5 tahun lalu diserang, mengakibatkan kerugian 8.535,36 ETH (senilai sekitar $26,4 juta). Tim keamanan Beosin telah menganalisis kerentanan dan melacak aliran dana, dengan hasil sebagai berikut: **Analisis Teknik Serangan:** Serangan memanfaatkan kerentanan logika aritmatika (kemungkinan truncation integer) pada fungsi yang tidak terbuka. Penyerang memanggil `getPurchasePrice()` untuk mendapatkan harga, lalu memanggil fungsi cacat `0xa0296215()` dengan `msg.value` yang sangat kecil. Ini memungkinkan penyerang mencetak sejumlah besar token TRU secara tidak sah. Token ini kemudian "dijual kembali" ke kontrak melalui fungsi `burn`, memungkinkan penyerang menarik sejumlah ETH dari cadangan kontrak. Proses ini diulang beberapa kali hingga hampir semua ETH dalam kontrak berhasil dikuras. **Pelacakan Dana:** Melalui platform BeosinTrace, dana yang dicuri sebanyak 8.535,36 ETH dilacak. Sebagian besar dana saat ini disimpan di dua alamat: - 0xd12f6e0fa7fbf4e3a1c7996e3f0dd26ab9031a60 (menampung 4.267,09 ETH) - 0x273589ca3713e7becf42069f9fb3f0c164ce850a (menampung 4.001 ETH) Alamat penyerang (0x6c8ec8f14be7c01672d31cfa5f2cefeab2562b50) masih menyimpan 267,71 ETH. Semua alamat ini telah ditandai sebagai berisiko tinggi oleh Beosin KYT dan belum ada transfer lebih lanjut. Kesimpulan: Kejadian ini menyoroti pentingnya audit keamanan, memperbarui kontrak lama, da...

Penulis: Beosin

Pada dini hari tanggal 9 Januari, kontrak tidak terbuka yang diterapkan Truebit Protocol 5 tahun lalu diserang, mengalami kerugian 8,535.36 ETH (senilai sekitar $26.4 juta). Tim keamanan Beosin telah melakukan analisis kerentanan dan pelacakan dana terhadap insiden keamanan ini, dan membagikan hasilnya sebagai berikut:

Analisis Teknik Serangan

Dalam peristiwa ini, kami menggunakan satu transaksi serangan utama sebagai analisis, hash transaksinya adalah: 0xcd4755645595094a8ab984d0db7e3b4aabde72a5c87c4f176a030629c47fb014

1. Penyerang memanggil getPurchasePrice() untuk mendapatkan harga

2. Kemudian memanggil fungsi 0xa0296215() yang memiliki cacat, dan menetapkan nilai msg.value sangat kecil

Karena kontrak tidak terbuka, melalui kode yang didekompilasi, diperkirakan fungsi ini memiliki kerentanan logika aritmatika, seperti masalah pemotongan integer, yang menyebabkan penyerang berhasil mencetak sejumlah besar token TRU.

3. Penyerang melalui fungsi burn "menjual kembali" token yang dicetak ke kontrak, dan menarik sejumlah besar ETH dari cadangan kontrak.

Proses ini diulang 4 kali, setiap kali nilai msg.value meningkat, hingga hampir semua ETH dalam kontrak ditarik.

Pelacakan Dana yang Dicuri

Berdasarkan data transaksi on-chain, Beosin melalui platform investigasi dan pelacakan on-chain blockchain BeosinTrace telah melakukan pelacakan dana yang rinci, dan membagikan hasilnya sebagai berikut:

Saat ini, 8,535.36 ETH yang dicuri setelah dipindahkan, sebagian besar disimpan di 0xd12f6e0fa7fbf4e3a1c7996e3f0dd26ab9031a60 dan 0x273589ca3713e7becf42069f9fb3f0c164ce850a.

Di antaranya, alamat 0xd12f memegang 4,267.09 ETH, alamat 0x2735 memegang 4,001 ETH. Alamat penyerang yang memulai serangan (0x6c8ec8f14be7c01672d31cfa5f2cefeab2562b50) masih menyimpan 267.71 ETH, tiga alamat ini belum ada transfer dana lebih lanjut.

Diagram Analisis Aliran Dana yang Dicuri oleh Beosin Trace

Semua alamat di atas telah ditandai oleh Beosin KYT sebagai alamat berisiko tinggi, contohnya alamat penyerang:

Beosin KYT

Kesimpulan

Dana yang dicuri ini melibatkan kontrak pintar tidak terbuka dari 5 tahun lalu. Untuk kontrak semacam ini, pihak proyek harus meningkatkan kontrak, memperkenalkan fitur darurat, pembatasan parameter, serta fitur keamanan Solidity versi baru. Selain itu, audit keamanan tetap merupakan langkah yang sangat diperlukan untuk kontrak. Melalui audit keamanan, perusahaan Web3 dapat mendeteksi kode kontrak pintar selengkap mungkin, menemukan dan memperbaiki kerentanan potensial, serta meningkatkan keamanan kontrak.

*Beosin akan menyediakan laporan analisis lengkap semua aliran dana dan risiko alamat dari peristiwa ini, silakan ambil melalui email resmi [email protected].

Pertanyaan Terkait

QApa yang terjadi pada Truebit Protocol pada 9 Januari?

ATruebit Protocol mengalami serangan keamanan pada kontrak yang tidak terbuka sumbernya yang telah diterapkan 5 tahun lalu, mengakibatkan kerugian 8.535,36 ETH (senilai sekitar $26,4 juta).

QBagaimana cara penyerang mengeksploitasi kerentanan dalam kontrak Truebit?

APenyerang memanggil fungsi getPurchasePrice() untuk mendapatkan harga, kemudian memanggil fungsi 0xa0296215() yang cacat dengan msg.value yang sangat kecil, memanfaatkan kerentanan logika aritmatika seperti pemotongan integer untuk mencetak banyak token TRU, lalu membakarnya untuk mengekstrak ETH dari cadangan kontrak.

QKe mana saja dana yang dicuri dialihkan?

ASebagian besar dana yang dicuri (8.535,36 ETH) dialihkan ke dua alamat: 0xd12f6e0fa7fbf4e3a1c7996e3f0dd26ab9031a60 (memegang 4.267,09 ETH) dan 0x273589ca3713e7becf42069f9fb3f0c164ce850a (memegang 4.001 ETH). Alamat penyerang (0x6c8ec8f14be7c01672d31cfa5f2cefeab2562b50) masih menyimpan 267,71 ETH.

QApa rekomendasi Beosin untuk meningkatkan keamanan kontrak pintar setelah insiden ini?

ABeosin merekomendasikan untuk meningkatkan kontrak dengan memperkenalkan jeda darurat, pembatasan parameter, dan fitur keamanan versi Soliditas baru. Audit keamanan juga sangat penting untuk mendeteksi dan memperbaiki kerentanan potensial.

QBagaimana Beosin melacak dan menandai alamat yang terlibat dalam serangan ini?

ABeosin menggunakan platform pelacakan dan investigasi blockchain BeosinTrace untuk melacak aliran dana. Semua alamat yang terlibat telah ditandai sebagai alamat berisiko tinggi dalam Beosin KYT (Know Your Transaction).

Bacaan Terkait

Kontraktor Terkait Korea Utara Menyusup ke MetaMask Selama Sebulan, Kerentanan Sebenarnya Proyek Crypto Bukan pada Kodenya

Seorang kontraktor yang dikaitkan dengan Korea Utara mendapatkan akses ke basis kode MetaMask melalui pemasok pihak ketiga dari 9 Maret hingga April sebelum akhirnya dihentikan aksesnya. Consensys menyatakan tidak ada aset atau data yang dicuri, tidak ada kode berbahaya yang ditemukan, dan keamanan pengguna tidak terpengaruh. Insiden ini menyoroti kerentanan kritis dalam pengelolaan outsourcing proyek kripto. Sekitar 76% dana yang dicuri dari DeFi pada paruh pertama 2026 berasal dari serangan tingkat operasional, seperti pada sistem kunci, penyimpanan, tanda tangan, dan persetujuan, bukan dari kerentanan kode kontrak pintar. Hal ini menekankan pentingnya kontrol akses dan operasi yang ketat. Panduan keamanan merekomendasikan pemeriksaan identitas yang ketat, pembatasan izin akses minimum ke basis kode, tinjauan independen untuk setiap perubahan, pemantauan aktivitas yang dapat dilacak, dan pencabutan akses segera ketika tidak diperlukan lagi. Insiden dengan MetaMask menunjukkan bahwa praktik pengelolaan akses kontraktor dan pihak ketiga perlu diperketat setara dengan standar untuk karyawan internal.

marsbit12m yang lalu

Kontraktor Terkait Korea Utara Menyusup ke MetaMask Selama Sebulan, Kerentanan Sebenarnya Proyek Crypto Bukan pada Kodenya

marsbit12m yang lalu

Dari Emas ke Bitcoin: Pasokan Tetap + Demam Lembaga, Akankah Menghasilkan Pergerakan Harga 'Eksplosif' yang Serupa?

Dari Emas ke Bitcoin: Pasokan Tetap + Demam Institusi, Akankah Ulangi Skenario Kenaikan Harga 'Eksplosif'? Analis memprediksi ETF Bitcoin dapat mengikuti pola historis ETF emas dalam perjalanan harganya, menawarkan roadmap potensial untuk investasi jangka panjang. Sejak peluncuran ETF emas pada 2004, harganya melambung dengan kapitalisasi pasar mendekati $28 triliun. Mirip dengan emas, Bitcoin adalah alat penyimpan nilai non-produktif yang harganya digerakkan oleh sentimen investor. ETF spot Bitcoin, disetujui awal 2024, dengan cepat menjadi salah satu ETF dengan pertumbuhan tercepat, menarik lembaga Wall Street. Namun, volatilitas tetap tinggi. Misalnya, dana IBIT BlackRock telah menjual hampir 100.000 Bitcoin untuk memenuhi penebusan, mencerminkan dampak signifikan dari arus modal institusional. Pola historis ETF emas menunjukkan fase kenaikan tajam, penurunan yang menyakitkan, dan pemulihan yang membutuhkan kesabaran, dengan setiap siklus menciptakan level tertinggi baru. Analis melihat "kemiripan spiritual" antara keduanya: kedua aset memiliki pasokan yang hampir tetap, di mana lonjakan permintaan dapat memicu kenaikan harga eksplosif, tetapi permintaan ini seringkali berubah-ubah seperti gelombang. Keyakinan jangka panjang tetap kuat. Minat institusi yang terus berlanjut, melalui aliran masuk ETF yang stabil dan adopsi perusahaan, dilihat sebagai penyangga utama yang membantu mengurangi tekanan jual. Jika Bitcoin dapat mencapai sebagian kecil dari kapitalisasi pasar emas sebagai penyimpan nilai, potensi apresiasinya masih sangat besar. Namun, perjalanan ini dipastikan akan diwarnai volatilitas tinggi. Bagi investor, kuncinya adalah rasionalitas, diversifikasi, dan fokus pada tren jangka panjang.

Foresight News28m yang lalu

Dari Emas ke Bitcoin: Pasokan Tetap + Demam Lembaga, Akankah Menghasilkan Pergerakan Harga 'Eksplosif' yang Serupa?

Foresight News28m yang lalu

Mengapa Agensi Belanja AI Sulit Populer?

AI berbelanja sebagai wakil belum dapat diterima luas karena menghadapi beberapa tantangan mendasar. Pertama, berbelanja terdiri dari dua tindakan inti: pencarian informasi dan penilaian nilai. Mesin dapat menangani pencarian informasi, tetapi penilaian nilai melibatkan preferensi subjektif manusia yang sulit didelegasikan sepenuhnya. Penilaian nilai sendiri memiliki dua lapisan: evaluasi berdasarkan kriteria yang ditetapkan, dan yang lebih penting, **pendefinisian kebutuhan itu sendiri**—menentukan kriteria, bobot, dan batasan. Preferensi manusia bersifat konstruktif dan berubah, bukan statis, sehingga memerlukan komunikasi iteratif dengan AI. Kedua, batasan sesungguhnya bukan pada standarisasi barang, tetapi apakah proses memilih itu sendiri merupakan **tugas rutin atau kesenangan**. Untuk barang seperti perlengkapan kantor (tugas rutin), AI dapat sepenuhnya otomatis. Namun, untuk barang seperti anggur atau pakaian (kesenangan), proses memilih adalah bagian dari pengalaman konsumsi. Di sini, peran AI idealnya adalah penyaring informasi, menyajikan beberapa pilihan terbaik kepada manusia untuk keputusan akhir. Ketiga, ada dilema interaksi: AI yang bertanya terlalu banyak dapat mengganggu dan mendistorsi pilihan; mengandalkan riwayat belanja dapat membatasi eksplorasi baru; dan keputusan sepenuhnya manual itu melelahkan. Solusi tengah adalah **interaksi pengenalan**, di mana AI menunjukkan beberapa opsi dan pengguna langsung memilih. Narasi "memberi dompet kepada AI" yang menekankan pembayaran otomatis pun keliru. Pembayaran hanyalah bagian termudah. Solusi pembayaran terkini (seperti dari Stripe, Mastercard, Google, Visa) memisahkan **otorisasi pengguna** dari **eksekusi pembayaran terbatas AI**, tanpa perlu menyerahkan dana sepenuhnya. Dompet AI otonom lebih cocok untuk skenario **B2B atau M2M** (mis., pembelian perusahaan standar, penyelesaian antar-mesin), bukan belanja konsumen personal. **Kendala sebenarnya** bukan pada pembayaran, melainkan pada: (1) **Kurangnya sumber data tepercaya** (ulasan palsu, barang palsu) yang menjadi dasar keputusan AI, dan (2) **Hak manusia untuk mendefinisikan kebutuhan tidak dapat diotomatisasi**. Mendelegasikan definisi ini kepada AI berarti kehilangan preferensi asli. Kesimpulannya, untuk barang yang dinikmati, **pilihan itu sendiri adalah produk**. Platform harus mengoptimalkan data terstruktur untuk AI sambil mempertahankan keunggulan inti: memfasilitasi eksplorasi konsumen baru dan pengalaman memilih yang menyenangkan. AI harus menjadi asisten pencarian informasi yang aman dan terkendali, sementara manusia tetap memegang kendali atas standar penilaian dan kesenangan memilih akhir.

Foresight News1j yang lalu

Mengapa Agensi Belanja AI Sulit Populer?

Foresight News1j yang lalu

zcashd dimatikan, Zcash memasuki era Ironwood: Apakah privasi tahan kuantum adalah masa depan?

Infrastruktur Zcash telah memasuki fase baru dengan selesainya migrasi dari perangkat lunak awal, zcashd, ke implementasi berbasis Rust, Zebra, dan Zakura. Transisi ini memperkuat pemeliharaan jaringan dan mempersiapkan era Ironwood, yang menghadirkan perlindungan verifikasi formal dan ketahanan kuantum. Meskipun ditemukan kerentanan pada kumpulan terlindung Orchard, respons cepat pengembang berhasil membatasi dampaknya, dan kepercayaan pengguna tetap terjaga. Hal ini terlihat dari peningkatan 11,1% transaksi privat serta peningkatan signifikan dalam set anonimitas dan volume perdagangan harian. Dengan dimulainya era Ironwood, Zcash tidak hanya bereaksi terhadap ancaman keamanan tetapi juga membangun jaminan jangka panjang untuk integritas protokol dan privasi penggunanya di masa depan.

ambcrypto1j yang lalu

zcashd dimatikan, Zcash memasuki era Ironwood: Apakah privasi tahan kuantum adalah masa depan?

ambcrypto1j yang lalu

Setelah 9 Bulan Short, Beralih Lengkap ke Long, Trader Terkenal Buka Posisi Bitcoin di Sekitar 64k, Sentimen Bullish vs Bearish Terbelah di Pasar Kripto

Seorang trader kripto terkenal, Doctor Profit, yang berhasil memprediksi penurunan harga Bitcoin dari puncak $126.000 pada Oktober 2025, mengumumkan telah menutup semua posisi short-nya dan mulai membeli Bitcoin spot di kisaran $64.000. Ia berpendapat siklus bear market empat tahunan mungkin berakhir lebih cepat karena perubahan struktural seperti regulasi CLARITY Act dan masuknya modal institusi besar melalui tokenisasi aset. Di sisi lain, analis on-chain gumsays mencatat sinyal divergensi bullish mingguan pada Bitcoin telah berlangsung 147 hari, mendekati durasi 161 hari sebelum pembalikan kuat di siklus 2022. Namun, peneliti siklus Jake Pahor memberikan pandangan berbeda. Berdasarkan analisis data historis 5.279 hari, ia menyebutkan tiga kondisi umum pembentukan dasar bear market — durasi sekitar 12 bulan, sentimen ekstrem 'ketakutan' berkepanjangan (skor risiko di bawah 20), dan harga jatuh di bawah harga realisasi — belum terpenuhi sama sekali dalam siklus saat ini. Harga realisasi Bitcoin saat ini sekitar $53.000. Pasar tampak terpecah antara mereka yang mulai 'membangun posisi lebih awal' (seperti Doctor Profit) dan yang memilih 'menunggu sinyal konfirmasi lebih kuat' (seperti strategi Jake Pahor). Bitcoin saat ini diperdagangkan sekitar $64.800, tepat di atas moving average 200-minggu sekitar $63.000, dengan indeks Fear & Greed di level 25 (Extreme Fear).

marsbit1j yang lalu

Setelah 9 Bulan Short, Beralih Lengkap ke Long, Trader Terkenal Buka Posisi Bitcoin di Sekitar 64k, Sentimen Bullish vs Bearish Terbelah di Pasar Kripto

marsbit1j yang lalu

Trading

Spot
活动图片

Kategori Populerright-arrow

Tag Populerright-arrow