Убытки превысили 26 миллионов долларов: анализ инцидента безопасности Truebit Protocol и отслеживание потока украденных средств

marsbitОпубликовано 2026-01-09Обновлено 2026-01-09

Введение

9 января протокол Truebit подвергся атаке на неоткрытый контракт, развернутый 5 лет назад, в результате чего было похищено 8 535,36 ETH (около 26,4 млн долларов США). Атакующий использовал уязвимость в функции 0xa0296215(), связанную с проблемами целочисленного усечения, что позволило ему сгенерировать большое количество токенов TRU и обменять их на ETH из резервов контракта. Похищенные средства в основном были перемещены на два адреса: 0xd12f6e0fa7fbf4e3a1c7996e3f0dd26ab9031a60 (4 267,09 ETH) и 0x273589ca3713e7becf42069f9fb3f0c164ce850a (4 001 ETH). Адрес злоумышленника (0x6c8ec8f14be7c01672d31cfa5f2cefeab2562b50) все еще содержит 267,71 ETH. Все указанные адреса помечены Beosin KYT как высокорисковые. Для предотвращения подобных инцидентов рекомендуется обновлять старые контракты, добавлять механизмы экстренной остановки и проводить аудит безопасности.

Автор: Beosin

9 января в ранние часы не открытый исходный код контракта, развернутого Truebit Protocol 5 лет назад, подвергся атаке, в результате чего было потеряно 8 535,36 ETH (стоимостью около 26,4 миллиона долларов). Команда безопасности Beosin провела анализ уязвимости и отслеживания средств по данному инциденту безопасности и делится результатами ниже:

Анализ метода атаки

В данном инциденте мы возьмем за основу анализа одну из главных атакующих транзакций, хэш которой: 0xcd4755645595094a8ab984d0db7e3b4aabde72a5c87c4f176a030629c47fb014

1. Злоумышленник вызывает getPurchasePrice() для получения цены

2. Затем вызывается уязвимая функция 0xa0296215(), и значение msg.value устанавливается крайне малым

Поскольку контракт не имеет открытого исходного кода, на основе декомпилированного кода предполагается, что в данной функции присутствует арифметическая логическая уязвимость, например, проблема усечения целых чисел, что позволило злоумышленнику успешно сгенерировать большое количество токенов TRU.

3. Злоумышленник через функцию burn «продает» сгенерированные токены обратно контракту, извлекая из резерва контракта большое количество ETH.

Этот процесс повторяется еще 4 раза, при этом значение msg.value каждый раз увеличивается, пока почти все ETH из контракта не будут извлечены.

Отслеживание украденных средств

На основе данных о транзакциях в блокчейне, Beosin провела детальное отслеживание средств с помощью своей платформы для расследований и отслеживания в блокчейне BeosinTrace и делится результатами ниже:

В настоящее время украденные 8 535,36 ETH после переводов в основном размещены на адресах 0xd12f6e0fa7fbf4e3a1c7996e3f0dd26ab9031a60 и 0x273589ca3713e7becf42069f9fb3f0c164ce850a.

Из них на адресе 0xd12f находится 4 267,09 ETH, на адресе 0x2735 — 4 001 ETH. На адресе злоумышленника, с которого была начата атака (0x6c8ec8f14be7c01672d31cfa5f2cefeab2562b50), все еще находится 267,71 ETH. По трем адресам пока не было дальнейших переводов средств.

Диаграмма анализа потока украденных средств от Beosin Trace

Все вышеперечисленные адреса уже помечены Beosin KYT как адреса высокого риска, в качестве примера адрес злоумышленника:

Beosin KYT

Заключение

Данные украденные средства связаны с не открытым исходный код смарт-контрактом, развернутым 5 лет назад. Для подобных контрактов проектной команде следует обновить контракт, внедрив аварийную остановку, ограничения параметров, а также новые функции безопасности версий Solidity. Кроме того, аудит безопасности по-прежнему является необходимым этапом для контрактов. С помощью аудита безопасности Web3-компании могут максимально полно протестировать код смарт-контракта, обнаружить и исправить потенциальные уязвимости, повысив безопасность контракта.

*Beosin предоставит полный отчет об анализе всех потоков средств и рисков адресов по данному инциденту. Для получения отчета обращайтесь по официальному email [email protected].

Связанные с этим вопросы

QЧто такое Truebit Protocol и какая сумма была похищена в результате инцидента безопасности?

ATruebit Protocol — это проект в сфере блокчейна, который пострадал от взлома не открытого исходного кода контракта, развернутого 5 лет назад. В результате инцидента было похищено 8,535.36 ETH, что эквивалентно примерно 26.4 миллионам долларов США.

QКакая основная уязвимость была использована атакующим в смарт-контракте Truebit Protocol?

AАтакующий воспользовался арифметической логической уязвимостью, такой как проблема усечения целых чисел, в не открытой для общего доступа функции контракта. Это позволило злоумышленнику успешно mint большое количество токенов TRU с минимальным значением msg.value.

QКак атакующий вывел похищенные средства после minting токенов TRU?

AПосле minting большого количества токенов TRU, атакующий использовал функцию burn, чтобы 'продать' их обратно контракту и извлечь большое количество ETH из резервов контракта. Этот процесс был повторен несколько раз с увеличением msg.value, пока почти все ETH не были извлечены.

QНа какие адреса были перемещены похищенные ETH, и сколько средств находится на каждом из них?

AПохищенные ETH были перемещены в основном на два адреса: 0xd12f6e0fa7fbf4e3a1c7996e3f0dd26ab9031a60 (4,267.09 ETH) и 0x273589ca3713e7becf42069f9fb3f0c164ce850a (4,001 ETH). Адрес атакующего (0x6c8ec8f14be7c01672d31cfa5f2cefeab2562b50) все еще содержит 267.71 ETH.

QКакие рекомендации дает Beosin для предотвращения подобных инцидентов в будущем?

ABeosin рекомендует проектам обновлять устаревшие контракты, вводить функции экстренной остановки, ограничения параметров и использовать новые функции безопасности Solidity. Кроме того, безопасностный аудит является необходимым этапом для всестороннего тестирования кода смарт-контрактов, выявления и исправления потенциальных уязвимостей.

Похожее

BitMine добавляет 7 430 ETH и тратит $86 млн на выкуп акций – Почему?

Компания Bitmine на прошлой неделе значительно сократила закупки Ethereum (ETH), приобретя лишь 7430 ETH — это минимальный еженедельный объем с мая. Вместо наращивания криптовалютного резерва компания направила примерно 86 млн долларов на обратный выкуп 5,5 млн своих обыкновенных акций по средней цене 15,62 доллара, чтобы повысить акционерную стоимость. Несмотря на замедление темпов покупки, резерв Bitmine по-прежнему огромен и составляет 5 777 468 ETH (около 4,8% от общего объема эмиссии ETH). Компания близка к достижению своей долгосрочной цели — владению 5% всех ETH. Уже через 12 месяцев после запуска стратегии фонд почти достиг этого показателя. Кроме того, Bitmine разместила в стейкинге через свою платформу MAVAN около 4,92 млн ETH (85% своих активов). Это может приносить примерно 247 млн долларов годового дохода при текущей доходности в 2,67%, а после стейкинга всего резерва доход может вырасти до 290 млн долларов. Параллельно в статье отмечается, что пока Bitmine фокусируется на Ethereum, компания MicroStrategy Майкла Сэйлора продолжает агрессивно накапливать Bitcoin (BTC), несмотря на финансовое давление и недавние продажи части активов.

ambcrypto23 мин. назад

BitMine добавляет 7 430 ETH и тратит $86 млн на выкуп акций – Почему?

ambcrypto23 мин. назад

9,42 миллиона частных инвесторов бросились покупать акции Changxin Technology, кто же выиграл в лотерее?

Результаты размещения акций Changxin Technology привлекли огромное внимание инвесторов. Всего в онлайн-подписке для частных инвесторов участвовало около 9,4288 миллиона человек, было подано 816,92 миллиарда заявок на акции, сгенерировано примерно 7,7 миллиона выигрышных лотерейных номеров, а итоговая ставка онлайн-подписки составила около 0,4714%, что является рекордно высоким показателем для новых акций на рынке STAR. Из-за высокого спроса компания активировала механизм обратного перевода, увеличив количество акций, размещаемых онлайн, до 3,851 миллиарда. Среди институциональных инвесторов 285 организаций, управляющих 10907 счетами, подали заявки на сумму около 12,38 триллиона акций, получив в итоге 2,173 миллиарда акций при коэффициенте распределения около 0,1756%. Taikang Asset Management стал институциональным инвестором, получившим наибольшее распределение. Среди публичных фондов лидерами по объему размещения стали E Fund, Southern Fund и ICBC Credit Suisse. Основатель ведущей китайской компании в области больших моделей DeepSeek, Лян Вэньфэн, через свои хедж-фонды Ningbo幻方量化 и Zhejiang九章资产 получил самое большое распределение среди частных фондов — акций на общую сумму примерно 1,75 миллиарда юаней. Ожидается, что Changxin Technology официально выйдет на биржу 27 июля. По оценкам рынка, её стоимость после IPO может превысить 1 триллион юаней, а некоторые аналитики дают прогноз до 2-3 триллионов юаней. Однако недавняя коррекция на глобальном технологическом рынке может оказать определенное влияние на цену акций компании после листинга.

marsbit48 мин. назад

9,42 миллиона частных инвесторов бросились покупать акции Changxin Technology, кто же выиграл в лотерее?

marsbit48 мин. назад

Криптовалюта USCR стабилизируется на отметке $0,0022: Сможет ли мемкоин отыграть потери второго квартала?

Криптовалюта USCR, мемкоин, отслеживающий тему официальных крипторезервов США, пытается восстановиться после падения до двухмесячного минимума в $0.0022. В мае цена выросла на 65%, но в июне упала на 37%. Сейчас наблюдается потенциальный отскок, и если быкам удастся закрепиться выше ключевых скользящих средних, возможен рост до $0.0028 (уровень Фибоначчи) и далее до майского пика в $0.0036, что означает потенциал роста на 30-60%. Динамика USCR тесно связана с новостями о создании стратегического резерва биткойна в США. Майский рост совпал с увеличением вероятности этого события и внесением соответствующего законопроекта. Однако его рассмотрение застопорилось, а шансы на создание резерва к 2027 году, по данным Polymarket, упали до 18%, что давит на настроения. Несмотря на неопределённость, база держателей USCR остаётся значительной: 48 тысяч, сократившись лишь на 4 тысячи с начала 2026 года. Восстановление цены будет зависеть от позитивных новостей по законопроекту о биткойн-резерве.

ambcrypto1 ч. назад

Криптовалюта USCR стабилизируется на отметке $0,0022: Сможет ли мемкоин отыграть потери второго квартала?

ambcrypto1 ч. назад

«Богиня благотворительности» с 3 млн подписчиков целиком создана ИИ, поддельный детский дом, международный «фальшивый фонд» рухнул за одну ночь

**Шокирующий разоблачение: Астролябка «благотворительности» с 300 000 подписчиков оказалась масштабной аферой на основе ИИ** Австралийская инфлюенсерша Лили Джей, имевшая почти 3 миллиона подписчиков в Instagram, создала тщательно продуманную мошенническую схему под прикрытием своего «Фонда Лили Джей». Используя искусственный интеллект, она и ее команда генерировали фальшивые изображения и видео, изображающие строительство мечетей, раздачу хлеба в Газе и даже открытие детского дома в Уганде для привлечения пожертвований от преимущественно мусульманской аудитории. Расследование ABC News Verify выявило многочисленные подделки: видео с «открытием» детского дома полностью сгенерировано ИИ (включая детей, саму Лили и фонды), «награда» за гуманитарную деятельность оказалась фальшивкой с цифровым водяным знаком ИИ, а заявленные благотворительные проекты в Уганде и Газе не существуют. Фонд не зарегистрирован как официальная благотворительная организация, что позволяло избегать финансовой отчетности. После запросов ABC сайт фонда стал скрывать кнопки для пожертвований и предупреждения о своем неблаготворительном статусе для посетителей из Австралии, но оставил их для иностранных пользователей. Эксперты предупреждают, что эта афера — тревожный прецедент, демонстрирующий, как ИИ может эксплуатировать человеческое доверие и желание творить добро, создавая убедительные, но полностью вымышленные нарративы.

marsbit1 ч. назад

«Богиня благотворительности» с 3 млн подписчиков целиком создана ИИ, поддельный детский дом, международный «фальшивый фонд» рухнул за одну ночь

marsbit1 ч. назад

L2 «рекалибровка»: когда L1 становится собственным ролл-апом, каков финал Ethereum?

«L2 перекалибровка»: когда L1 становится собственным роллапом, каков финал Ethereum? Первоначально, роллапы (L2) рассматривались как основной путь масштабирования Ethereum, обеспечивая дешёвое и быстрое исполнение транзакций. Однако, с развитием самого L1 (повышение лимита газа, внедрение безсостоятельности и zkEVM) и объединением задач масштабирования, традиционное разделение между L1 как безопасным, но медленным «слоем урегулирования» и L2 как дешёвым «слоем исполнения» меняется. Вопрос теперь не только в увеличении пространства блоков, а в перераспределении ролей в системе с множеством исполняющих сред. Будущая роль L2 смещается от простого предоставления дешёвого газа к обеспечению уникальных функций, таких как оптимизация для конкретных приложений, приватность и гибкие модели управления. Таким образом, L2 станет скорее спектром исполняющих сред с разной степенью наследования безопасности Ethereum, чем единым техническим классом. Ключевой задачей становится решение фрагментации. Разделённая ликвидность и состояние пользователя ухудшают опыт. Усилия концентрируются на улучшении взаимодействия (интероперабельности) через системы на основе намерений (intents) и нативные протоколы, такие как Ethereum Interoperability Layer (EIL), чтобы Ethereum вновь «ощущался как единая цепь». Сокращение времени до финальности транзакций L1 также имеет решающее значение для доверия между цепями. Ещё более радикальная идея — с появлением систем доказательств (zkEVM) внутри L1 сама Ethereum может стать своего рода «собственным роллапом», где высокопроизводительные узлы исполняют транзакции, а валидаторы проверяют криптографические доказательства. Это размывает классические границы между слоями и открывает путь к архитектуре, где множество исполняющих доменов (специализированных L2) сосуществуют, разделяя общую безопасность, ликвидность и систему урегулирования Ethereum. В итоге, будущее Ethereum видится не как победа L1 над L2 или наоборот, а как экосистема взаимосвязанных исполняющих сред, которые, будучи «разобранными» для масштабирования, вновь объединяются в единое, безопасное и удобное для пользователя целое.

marsbit1 ч. назад

L2 «рекалибровка»: когда L1 становится собственным ролл-апом, каков финал Ethereum?

marsbit1 ч. назад

Торговля

Спот
活动图片

Популярные категорииright-arrow

Популярные тегиright-arrow