Убытки превысили 26 миллионов долларов: анализ инцидента безопасности Truebit Protocol и отслеживание потока украденных средств

marsbitОпубликовано 2026-01-09Обновлено 2026-01-09

Введение

9 января протокол Truebit подвергся атаке на неоткрытый контракт, развернутый 5 лет назад, в результате чего было похищено 8 535,36 ETH (около 26,4 млн долларов США). Атакующий использовал уязвимость в функции 0xa0296215(), связанную с проблемами целочисленного усечения, что позволило ему сгенерировать большое количество токенов TRU и обменять их на ETH из резервов контракта. Похищенные средства в основном были перемещены на два адреса: 0xd12f6e0fa7fbf4e3a1c7996e3f0dd26ab9031a60 (4 267,09 ETH) и 0x273589ca3713e7becf42069f9fb3f0c164ce850a (4 001 ETH). Адрес злоумышленника (0x6c8ec8f14be7c01672d31cfa5f2cefeab2562b50) все еще содержит 267,71 ETH. Все указанные адреса помечены Beosin KYT как высокорисковые. Для предотвращения подобных инцидентов рекомендуется обновлять старые контракты, добавлять механизмы экстренной остановки и проводить аудит безопасности.

Автор: Beosin

9 января в ранние часы не открытый исходный код контракта, развернутого Truebit Protocol 5 лет назад, подвергся атаке, в результате чего было потеряно 8 535,36 ETH (стоимостью около 26,4 миллиона долларов). Команда безопасности Beosin провела анализ уязвимости и отслеживания средств по данному инциденту безопасности и делится результатами ниже:

Анализ метода атаки

В данном инциденте мы возьмем за основу анализа одну из главных атакующих транзакций, хэш которой: 0xcd4755645595094a8ab984d0db7e3b4aabde72a5c87c4f176a030629c47fb014

1. Злоумышленник вызывает getPurchasePrice() для получения цены

2. Затем вызывается уязвимая функция 0xa0296215(), и значение msg.value устанавливается крайне малым

Поскольку контракт не имеет открытого исходного кода, на основе декомпилированного кода предполагается, что в данной функции присутствует арифметическая логическая уязвимость, например, проблема усечения целых чисел, что позволило злоумышленнику успешно сгенерировать большое количество токенов TRU.

3. Злоумышленник через функцию burn «продает» сгенерированные токены обратно контракту, извлекая из резерва контракта большое количество ETH.

Этот процесс повторяется еще 4 раза, при этом значение msg.value каждый раз увеличивается, пока почти все ETH из контракта не будут извлечены.

Отслеживание украденных средств

На основе данных о транзакциях в блокчейне, Beosin провела детальное отслеживание средств с помощью своей платформы для расследований и отслеживания в блокчейне BeosinTrace и делится результатами ниже:

В настоящее время украденные 8 535,36 ETH после переводов в основном размещены на адресах 0xd12f6e0fa7fbf4e3a1c7996e3f0dd26ab9031a60 и 0x273589ca3713e7becf42069f9fb3f0c164ce850a.

Из них на адресе 0xd12f находится 4 267,09 ETH, на адресе 0x2735 — 4 001 ETH. На адресе злоумышленника, с которого была начата атака (0x6c8ec8f14be7c01672d31cfa5f2cefeab2562b50), все еще находится 267,71 ETH. По трем адресам пока не было дальнейших переводов средств.

Диаграмма анализа потока украденных средств от Beosin Trace

Все вышеперечисленные адреса уже помечены Beosin KYT как адреса высокого риска, в качестве примера адрес злоумышленника:

Beosin KYT

Заключение

Данные украденные средства связаны с не открытым исходный код смарт-контрактом, развернутым 5 лет назад. Для подобных контрактов проектной команде следует обновить контракт, внедрив аварийную остановку, ограничения параметров, а также новые функции безопасности версий Solidity. Кроме того, аудит безопасности по-прежнему является необходимым этапом для контрактов. С помощью аудита безопасности Web3-компании могут максимально полно протестировать код смарт-контракта, обнаружить и исправить потенциальные уязвимости, повысив безопасность контракта.

*Beosin предоставит полный отчет об анализе всех потоков средств и рисков адресов по данному инциденту. Для получения отчета обращайтесь по официальному email [email protected].

Связанные с этим вопросы

QЧто такое Truebit Protocol и какая сумма была похищена в результате инцидента безопасности?

ATruebit Protocol — это проект в сфере блокчейна, который пострадал от взлома не открытого исходного кода контракта, развернутого 5 лет назад. В результате инцидента было похищено 8,535.36 ETH, что эквивалентно примерно 26.4 миллионам долларов США.

QКакая основная уязвимость была использована атакующим в смарт-контракте Truebit Protocol?

AАтакующий воспользовался арифметической логической уязвимостью, такой как проблема усечения целых чисел, в не открытой для общего доступа функции контракта. Это позволило злоумышленнику успешно mint большое количество токенов TRU с минимальным значением msg.value.

QКак атакующий вывел похищенные средства после minting токенов TRU?

AПосле minting большого количества токенов TRU, атакующий использовал функцию burn, чтобы 'продать' их обратно контракту и извлечь большое количество ETH из резервов контракта. Этот процесс был повторен несколько раз с увеличением msg.value, пока почти все ETH не были извлечены.

QНа какие адреса были перемещены похищенные ETH, и сколько средств находится на каждом из них?

AПохищенные ETH были перемещены в основном на два адреса: 0xd12f6e0fa7fbf4e3a1c7996e3f0dd26ab9031a60 (4,267.09 ETH) и 0x273589ca3713e7becf42069f9fb3f0c164ce850a (4,001 ETH). Адрес атакующего (0x6c8ec8f14be7c01672d31cfa5f2cefeab2562b50) все еще содержит 267.71 ETH.

QКакие рекомендации дает Beosin для предотвращения подобных инцидентов в будущем?

ABeosin рекомендует проектам обновлять устаревшие контракты, вводить функции экстренной остановки, ограничения параметров и использовать новые функции безопасности Solidity. Кроме того, безопасностный аудит является необходимым этапом для всестороннего тестирования кода смарт-контрактов, выявления и исправления потенциальных уязвимостей.

Похожее

После жестокой делевереджинга южнокорейский фондовый рынок резко отскочил, акции SK Hynix выросли на 30%

31 июля южнокорейский фондовый рынок пережил масштабное восстановление после резкого снижения. Индекс KOSPI вырос на 18,27%, а акции SK Hynix достигли верхнего ценового предела, подорожав на 30%. Росту способствовали три основных фактора: сильные отчёты Microsoft и Amazon, подчеркнувшие устойчивый спрос на ИИ-инфраструктуру; покупка акций SK Hynix председателем группы SK, расцененная как сигнал доверия; а также объявление правительством Южной Кореи о планах инвестировать 20 трлн вон в ИИ. Перед этим рынок пережил жёсткое снижение на 40% за месяц, во многом вызванное эффектом дневного ребалансирования левереджных ETF, что создало спираль продаж. Власти признали просчёты в регулировании и ужесточают правила для подобных продуктов, повышая требования к марже для инвесторов. Аналитики отмечают, что основная распродажа, возможно, завершена, и теперь на первый план выходят фундаментальные факторы, такие как корпоративные выкупы акций и цикл рынка чипов. Однако устойчивость восстановления будет зависеть от будущих капитальных затрат технологических гигантов и динамики цен на полупроводники.

marsbit14 мин. назад

После жестокой делевереджинга южнокорейский фондовый рынок резко отскочил, акции SK Hynix выросли на 30%

marsbit14 мин. назад

Криптовалютная компания Wintermute сделала пессимистичные заявления относительно ожидаемого роста альткоинов! Вот подробности

Криптовакомпания Wintermute высказала пессимистичный взгляд на ожидаемый сезон роста альткоинов. По её оценке, поведение институциональных инвесторов меняется: капитал концентрируется на меньшем количестве токенов. В первом полугодии 2024 года на институтов пришлось рекордные 72% OTC-спотового объёма компании. Их активность быстро снижается после скачков цены, в отличие от интереса розничных инвесторов, что говорит об избирательном подходе. Это указывает на возможное изменение классического «сезона альткоинов», когда одновременно росли сотни монет. В новом цикле могут выделиться лишь проекты с убедительными вариантами использования, высокой ликвидностью и институциональным интересом. Данные других аналитических компаний подтверждают эту тенденцию. Объём торгов альткоинами против биткойна близок к минимуму с 2021 года. На 10 крупнейших альткоинов (без стейблкоинов) приходится около 80,5% общей капитализации этого сегмента. Также 63% торгового объёма всех альткоинов теперь сосредоточено в топ-10, тогда как несколько месяцев назад этот показатель был около 50%. Таким образом, ожидается, что потенциальный рост альткоинов будет менее масштабным, чем в прошлые циклы, и прибыль может быть сконцентрирована в ограниченном числе перспективных проектов с передовыми технологиями и устойчивой экосистемой.

cryptonews.ru15 мин. назад

Криптовалютная компания Wintermute сделала пессимистичные заявления относительно ожидаемого роста альткоинов! Вот подробности

cryptonews.ru15 мин. назад

Премия за «безрисковость» казначейских облигаций США исчезает

Статья анализирует структурные изменения в восприятии американских государственных облигаций (казначейских обязательств США) как "безрискового актива". Основной тезис заключается в том, что "премия за безрисковость" постепенно исчезает, что отражается в форме кривой доходности. Ключевые выводы: 1. Кривая доходности смещается вверх параллельно, причем все сроки погашения теперь дают доходность выше, чем основная ставка ФРС. Самый высокий спред наблюдается для 20-летних облигаций, что указывает на растущую премию за срок и кредитный риск, а не только на ожидания по политике ФРС. 2. В глобальном сравнении спред 10-летних облигаций США к ставке ФРС (+102 б.п.) сейчас близок к показателю Германии (+88 б.п.), что говорит об эрозии исторического преимущества США. Если скорректировать спред на уровень госдолга к ВВП, США по-прежнему пользуются "дисконтом резервной валюты", но его сокращение до среднего уровня G10 может добавить к долгосрочным ставкам еще около 50 б.п. 3. Рынки деривативов (опционы) указывают на бимодальное распределение вероятностей: цены учитывают как сохранение статус-кво, так и риск фискальных потрясений (дорогие хвостовые риски), особенно в инструментах, связанных с процентными ставками и золотом. 4. В исторической перспективе подобные эпизоды разрешались либо через фискальную консолидацию (как в 1990-е), либо через инфляцию и подчинение монетарной политики фискальным нуждам (как в 1970-е). Нынешняя политическая среда повышает неопределенность. 5. Шок через кривую доходности США уже влияет на мировые рынки, что видно на примере резкой коррекции на фондовых рынках Южной Кореи и Китая (сектор технологий и полупроводников), вызванной переоценкой стоимости финансирования и длительности денежных потоков. Таким образом, происходит фундаментальная переоценка суверенного кредитного риска США и стоимости длинных сроков погашения, что имеет серьезные последствия для глобального ценообразования активов, портфельных стратегий и нейтральных к рынку стратегий.

marsbit22 мин. назад

Премия за «безрисковость» казначейских облигаций США исчезает

marsbit22 мин. назад

UNI включает комиссионный выключатель: Uniswap дебютирует с коммерциализацией, а в сентябре его ждет первое испытание

Автор: Jae, PANews 30 июля цена UNI превысила 4 доллара, выросши более чем на 10% за день и на 17% за неделю, прервав боковой тренд последних трех месяцев. Непосредственным катализатором роста стало включение 27 июля «комиссионного переключателя» (Fee Switch) в Uniswap V4. Это привело к взрывному росту ежедневных доходов протокола — с 118 тыс. долларов в начале июля до 318 тыс. долларов, что в 2.7 раза больше. Более половины этого дохода (168 тыс. долларов в день) генерируется в сети Robinhood Chain, которая теперь стала основным источником комиссий для Uniswap и ключевым драйвером сжигания токенов UNI. Новый механизм распределения комиссий, введенный предложением UNIfication, создает саморегулирующийся экономический цикл: транзакции генерируют комиссии, которые накапливаются в контракте TokenJar; арбитражеры (например, MEV-боты) выкупают и сжигают UNI, чтобы получить доступ к этим средствам, когда это прибыльно. Это создает дефляционное давление на токен. Однако за праздником роста скрываются серьезные риски. Более 99% объема транзакций на Robinhood Chain в настоящее время обеспечивается спекуляциями вокруг мем-токенов, таких как CASHCAT, что указывает на хрупкую основу для текущих доходов. Ключевым испытанием станет конец сентября, когда истечет срок действия субсидий Robinhood на бесплатные транзакции (Gas fee). Восстановление реальной стоимости транзакций может резко охладить спекулятивную активность. Кроме того, рыночная оценка UNI выглядит высокой: при полностью разводненной капитализации (FDV) около 40 млрд долларов и годовой прибыли около 41 млн долларов подразумеваемое отношение P/E приближается к 100. Это делает токен уязвимым к коррекции в случае замедления роста доходов. Ведутся также дебаты о влиянии комиссий протокола на поставщиков ликвидности (LP). Критики, такие как соучредитель Aerodrome Александр Катлер, утверждают, что сбор комиссий протоколом сокращает доходность LP. Основатель Uniswap Хейден Адамс парирует, что в V4 комиссия протокола является надбавкой для трейдеров, а не вычетом из вознаграждений LP. Тем не менее, остается открытым вопрос, не приведет ли общее увеличение стоимости торговли к снижению объемов и, следовательно, косвенно к снижению доходов LP. Таким образом, Uniswap успешно дебютировал с моделью монетизации, но ее долгосрочная устойчивость зависит от способности протокола привлечь более стабильный и ценный трафик, выходящий за рамки спекуляций мем-токенами.

marsbit23 мин. назад

UNI включает комиссионный выключатель: Uniswap дебютирует с коммерциализацией, а в сентябре его ждет первое испытание

marsbit23 мин. назад

Выручка Coinbase упала во втором квартале на фоне замедления рынка, но неторговые услуги расширяются

Криптобиржа Coinbase сообщила о снижении выручки во втором квартале на фоне общего замедления активности на рынке цифровых активов. Общий доход компании составил 1,22 миллиарда долларов, что на 14% меньше, чем в предыдущем квартале. Чистый убыток за период достиг 359 миллионов долларов. Основное давление на финансовые показатели оказало падение доходов от торговых операций, которые сократились на 21% до 599 миллионов долларов. Общий объем торгов на платформе упал на 24% до 146,4 миллиарда долларов. Несмотря на это, Coinbase увеличила свою долю рынка до рекордных 10,3%, что свидетельствует о сохранении пользовательской базы. Значительную роль в структуре доходов начинают играть неторговые сервисы. На них, включая подписки и услуги, пришлось 48% чистой выручки. Особенно ярким драйвером роста стал сегмент прогнозных рынков, выручка которого выросла на 106% по сравнению с первым кварталом и превысила 100 миллионов долларов в годовом исчислении. Компания также отмечает стабильный спрос на услуги, связанные со стейблкоином, о чем говорит средний баланс USDC на платформах в размере 20 миллиардов долларов. Компания продолжает инвестировать в развитие различных продуктов, чтобы адаптироваться к рыночным условиям. Вопрос о том, смогут ли растущие неторговые направления компенсировать возможную дальнейшую слабость транзакционных доходов, остаётся открытым.

TheNewsCrypto38 мин. назад

Выручка Coinbase упала во втором квартале на фоне замедления рынка, но неторговые услуги расширяются

TheNewsCrypto38 мин. назад

Торговля

Спот
活动图片

Популярные категорииright-arrow

Популярные тегиright-arrow