Tổn thất hơn 26 triệu USD, Phân tích sự kiện bảo mật Truebit Protocol và Theo dõi dòng tiền bị đánh cắp

marsbitXuất bản vào 2026-01-09Cập nhật gần nhất vào 2026-01-09

Tóm tắt

Vào ngày 9 tháng 1, giao thức Truebit đã bị tấn công vào một hợp đồng thông minh chưa được mở mã nguồn từ 5 năm trước, dẫn đến tổn thất 8.535,36 ETH (tương đương khoảng 26,4 triệu USD). Nhóm bảo mật Beosin đã phân tích sự cố và theo dõi dòng tiền. Kẻ tấn công đã khai thác lỗ hổng số học trong hàm chưa được mở mã nguồn (có thể là lỗi cắt ngắn số nguyên) để đúc một lượng lớn token TRU với giá trị giao dịch cực thấp, sau đó bán lại token để rút ETH từ hợp đồng. Quy trình này được lặp lại nhiều lần cho đến khi gần như toàn bộ ETH trong hợp đồng bị rút sạch. Phần lớn số tiền bị đánh cắp hiện được lưu trữ tại hai địa chỉ: 0xd12f6e0fa7fbf4e3a1c7996e3f0dd26ab9031a60 (4.267,09 ETH) và 0x273589ca3713e7becf42069f9fb3f0c164ce850a (4.001 ETH). Địa chỉ tấn công ban đầu vẫn còn giữ 267,71 ETH. Tất cả các địa chỉ liên quan đã được Beosin đánh dấu là rủi ro cao. Sự cố này nhấn mạnh tầm quan trọng của việc kiểm toán bảo mật, nâng cấp hợp đồch cũ và tích hợp các cơ chế an toàn như tạm dừng khẩn cấp cho các hợp đồng chưa được mở mã nguồn.

Tác giả: Beosin

Vào rạng sáng ngày 9 tháng 1, hợp đồng chưa được mở nguồn được triển khai cách đây 5 năm của Truebit Protocol đã bị tấn công, thiệt hại 8,535.36 ETH (trị giá khoảng 26.4 triệu USD). Đội ngũ bảo mật Beosin đã tiến hành phân tích lỗ hổng và theo dõi dòng tiền cho sự kiện bảo mật lần này và chia sẻ kết quả như sau:

Phân tích thủ thuật tấn công

Trong sự kiện này, chúng tôi lấy một giao dịch tấn công chính để phân tích, hash giao dịch là: 0xcd4755645595094a8ab984d0db7e3b4aabde72a5c87c4f176a030629c47fb014

1. Kẻ tấn công gọi getPurchasePrice() để lấy giá

2. Sau đó gọi hàm 0xa0296215() có lỗ hổng và đặt giá trị msg.value cực kỳ nhỏ

Do hợp đồng không mở nguồn, thông qua mã đã dịch ngược, suy đoán rằng hàm này có lỗ hổng logic số học, chẳng hạn như vấn đề cắt bỏ số nguyên, dẫn đến việc kẻ tấn công đúc thành công một lượng lớn token TRU.

3. Kẻ tấn công thông qua hàm burn "bán lại" token đã đúc cho hợp đồng, rút một lượng lớn ETH từ kho dự trữ của hợp đồng.

Quá trình này lặp lại thêm 4 lần, mỗi lần giá trị msg.value tăng lên, cho đến khi rút gần như toàn bộ ETH trong hợp đồng.

Theo dõi tiền bị đánh cắp

Theo dữ liệu giao dịch trên chain, Beosin thông qua nền tảng điều tra và theo dõi trên chain BeosinTrace đã tiến hành theo dõi chi tiết dòng tiền và chia sẻ kết quả như sau:

Hiện tại, 8,535.36 ETH bị đánh cắp sau khi chuyển đi, phần lớn được lưu trữ lần lượt tại 0xd12f6e0fa7fbf4e3a1c7996e3f0dd26ab9031a60 và 0x273589ca3713e7becf42069f9fb3f0c164ce850a.

Trong đó địa chỉ 0xd12f nắm giữ 4,267.09 ETH, địa chỉ 0x2735 nắm giữ 4,001 ETH. Địa chỉ phát động tấn công của kẻ tấn công (0x6c8ec8f14be7c01672d31cfa5f2cefeab2562b50) còn lưu trữ 267.71 ETH, ba địa chỉ này tạm thời chưa có chuyển động tiền tiếp theo.

Biểu đồ phân tích dòng tiền bị đánh cắp bởi Beosin Trace

Tất cả các địa chỉ trên đều đã được Beosin KYT đánh dấu là địa chỉ rủi ro cao, lấy địa chỉ kẻ tấn công làm ví dụ:

Beosin KYT

Lời kết

Tiền bị đánh cắp lần này liên quan đến hợp đồng thông minh chưa mở nguồn từ 5 năm trước, đối với loại hợp đồng này, dự án nên nâng cấp hợp đồng, đưa vào tính năng tạm dừng khẩn cấp, giới hạn tham số cũng như các tính năng bảo mật mới của Solidity. Ngoài ra, kiểm toán bảo mật vẫn là khâu không thể thiếu của hợp đồng. Thông qua kiểm toán bảo mật, doanh nghiệp Web3 có thể kiểm tra mã hợp đồng thông minh một cách toàn diện nhất có thể, phát hiện và sửa chữa các lỗ hổng tiềm ẩn, nâng cao tính bảo mật của hợp đồng.

*Beosin sẽ cung cấp báo cáo phân tích đầy đủ về tất cả dòng tiền và rủi ro địa chỉ của lần này, vui lòng nhận qua email chính thức [email protected].

Câu hỏi Liên quan

QSự kiện bảo mật Truebit Protocol xảy ra khi nào và thiệt hại bao nhiêu?

ASự kiện xảy ra vào ngày 9 tháng 1, gây thiệt hại 8,535.36 ETH, tương đương khoảng 26.4 triệu USD.

QLỗ hổng chính trong hợp đồng thông minh của Truebit là gì?

AHợp đồng chưa được mở mã nguồn có lỗ hổng số học, có thể là vấn đề cắt ngắn số nguyên (integer truncation), cho phép kẻ tấn công đúc một lượng lớn token TRU.

QKẻ tấn công đã sử dụng phương pháp nào để rút ETH từ hợp đồng?

ASau khi đúc token TRU, kẻ tấn công đã sử dụng hàm burn để 'bán lại' token cho hợp đồng và rút một lượng lớn ETH từ kho dự trữ của hợp đồng.

QPhần lớn số tiền bị đánh cắp hiện được lưu trữ ở những địa chỉ nào?

APhần lớn số ETH bị đánh cắp hiện được lưu trữ tại hai địa chỉ: 0xd12f6e0fa7fbf4e3a1c7996e3f0dd26ab9031a60 (4,267.09 ETH) và 0x273589ca3713e7becf42069f9fb3f0c164ce850a (4,001 ETH).

QCó thể làm gì để ngăn chặn các sự cố tương tự trong tương lai?

ACác dự án nên nâng cấp hợp đồng cũ, bổ sung cơ chế tạm dừng khẩn cấp, giới hạn tham số và sử dụng các tính năng bảo mật mới của Solidity. Kiểm toán bảo mật là bắt buộc để phát hiện và sửa các lỗ hổng tiềm ẩn.

Nội dung Liên quan

NEAR tích hợp phương thức thanh toán AI thông qua Staking

NEAR AI, nền tảng tính toán bảo mật và khởi chạy tác nhân AI tự trị, đã giới thiệu phương thức mới để thanh toán cho tài nguyên máy tính AI thông qua hình thức staking token NEAR. Thay vì đăng ký trả phí hàng tháng bằng thẻ ngân hàng, người dùng có thể khóa một lượng token NEAR nhất định để nhận tín dụng điện toán mỗi tháng. Số lượng tín dụng phụ thuộc vào số tiền đặt cọc. Các token này không bị trừ hay tiêu hao, chúng vẫn thuộc sở hữu của người dùng và có thể được rút về ví sau khi kết thúc kỳ staking. Người dùng có thể tăng hoặc giảm số lượng NEAR được stake tùy theo nhu cầu sử dụng dịch vụ AI. Cơ chế này hỗ trợ 43 mô hình có sẵn trên NEAR AI, bao gồm các giải pháp từ Anthropic, OpenAI và Google, được thiết kế cho xử lý yêu cầu bảo mật và vận hành các tác nhân AI tự trị. Đây là ứng dụng thực tế đầu tiên của khái niệm "AI money" do NEAR đề xuất trước đó, với ý tưởng kết nối trực tiếp việc sử dụng dịch vụ AI với tài sản crypto cốt lõi của mạng lưới.

cryptonews.ru23 phút trước

NEAR tích hợp phương thức thanh toán AI thông qua Staking

cryptonews.ru23 phút trước

Tin xấu cho những người đang chờ đợi một đợt sụp đổ lớn của Bitcoin (BTC): Nhà phân tích nổi tiếng đã nói rất rõ về điều này!

Tin tức xấu cho những ai đang mong đợi Bitcoin (BTC) lao dốc mạnh: một nhà phân tích nổi tiếng đã đưa ra nhận định rất rõ ràng! Trong bối cảnh Bitcoin tiếp tục dao động quanh mức 64.000 USD, nhà phân tích Killa, một chuyên gia có uy tín trên thị trường tiền điện tử, tuyên bố rằng BTC đã chạm đáy và ông không kỳ vọng một đợt sụt giảm mạnh. Nhà phân tích này cho rằng khả năng Bitcoin giảm xuống vùng 36.000-48.000 USD như nhiều nhà đầu tư dự đoán là rất thấp. Dựa trên phân tích các chu kỳ giá trước đây, ông lập luận rằng Bitcoin thường tạo ba đáy chính và hai đáy cuối là then chốt. Sau khi giảm về khoảng 59.000 USD, Bitcoin đã hình thành sự phân kỳ tăng nhẹ, và áp lực bán không đủ để đẩy giá xuống thêm nữa, cho thấy thị trường đang củng cố chứ không suy yếu. Theo Killa, Bitcoin hiện đang trong một phạm vi tích lũy rõ ràng với mốc hỗ trợ quan trọng quanh 57.000 USD. Mặc dù có thể có những đợt giảm ngắn hạn dưới mức này, nhưng đó không phải dấu hiệu của một thị trường giảm giá mới. So sánh với các xu hướng lịch sử, một đợt giảm mạnh và kéo dài xuống vùng 36.000-48.000 USD không phù hợp với cấu trúc thị trường hiện tại. Nếu một đợt lao dốc như vậy xảy ra, nó đáng lẽ phải diễn ra sớm hơn.

cryptonews.ru24 phút trước

Tin xấu cho những người đang chờ đợi một đợt sụp đổ lớn của Bitcoin (BTC): Nhà phân tích nổi tiếng đã nói rất rõ về điều này!

cryptonews.ru24 phút trước

AMLBot ra mắt AI Tracer để tự điều tra blockchain

Công ty phân tích tuân thủ và điều tra tiền điện tử AMLBot đã ra mắt công cụ AI Tracer, một nền tảng phân tích blockchain tự phục vụ. Công cụ này tự động lập bản đồ dòng tiền từ một mã hash giao dịch xuyên suốt các mạng blockchain, bao gồm cả việc theo dõi qua các cầu nối cross-chain và khi tài sản bị chia nhỏ vào nhiều ví. AI Tracer được thiết kế để đơn giản hóa việc truy vết, vốn thường yêu cầu phần mềm và kiến thức chuyên môn. Nó tự động duyệt qua biểu đồ giao dịch, theo dõi chuyển động tiền và đối chiếu các địa chỉ ví với nhãn của các thực thể đã biết như sàn giao dịch, dịch vụ hoặc địa chỉ bị cảnh báo. Công ty lưu ý rằng công cụ có giới hạn: không thể thấy giao dịch nội bộ trên sàn, xác định lý do thanh toán, đóng băng tài sản hay đảm bảo thu hồi tiền. Báo cáo từ AI Tracer chỉ nhằm cung cấp điểm khởi đầu cho các cuộc điều tra và không thay thế quy trình kiểm toán hay pháp lý. AI Tracer cung cấp kiểm tra miễn phí và các gói trả phí với giới hạn cao hơn. Hiện tại, nó hỗ trợ nhiều mạng lưới blockchain lớn như Bitcoin, Ethereum, BNB Chain, Solana, Cardano, Ripple, Polygon, Arbitrum và nhiều mạng khác. Đối tượng mục tiêu bao gồm nhà báo, nhà nghiên cứu, trader, người dùng crypto, cơ quan thực thi pháp luật và các đội tuân thủ.

cointelegraph1 giờ trước

AMLBot ra mắt AI Tracer để tự điều tra blockchain

cointelegraph1 giờ trước

Cổ phiếu sụt giảm còn mạnh hơn cả thị trường tiền điện tử, tiền đã đi đâu?

Tác giả Cathy từ Nền tảng Blockchain Bạch thoại phân tích về đợt sụt giảm mạnh của thị trường chứng khoán toàn cầu gần đây, đặc biệt là sự sụp đổ của chỉ số Kospi Hàn Quốc với mức giảm kỷ lục và việc kích hoạt cơ chế ngắt mạch. Bài viết chỉ ra rằng đây không phải là sự sụt giảm của một cổ phiếu riêng lẻ, mà là một đợt "giảm đòn bẩy cưỡng chế" toàn cầu, nhắm vào các lĩnh vực được giao dịch quá mức như bán dẫn. Đáng chú ý, trong khi các cổ phiếu công nghệ và ETF có đòn bẩy lao dốc (ví dụ: ETF 2x SK Hynix giảm 83%), Bitcoin lại thể hiện sự ổn định tương đối, thậm chí có mức tăng nhẹ, trái ngược với hình ảnh biến động thường thấy. Nguyên nhân được cho là do các lệnh thanh lý cưỡng chế từ các nhà đầu tư sử dụng đòn bẩy cao và quỹ phòng hộ, được kích hoạt bởi báo cáo lợi nhuận không đạt kỳ vọng của SK Hynix và các yếu tố từ Trung Quốc (như đợt IPO của CXMT). Áp lực từ việc chấm dứt giao dịch carry-trade bằng đồng Yên cũng góp phần vào làn sóng bán tháo. Bài viết lập luận rằng dòng tiền từ thị trường chứng khoán không chảy vào Bitcoin. Thay vào đó, Bitcoin "trông có vẻ ổn định" vì đã trải qua một đợi điều chỉnh sâu và bán tháo mạnh từ tháng 5 đến tháng 6, với dòng tiền ròng rất lớn rút khỏi các ETF Bitcoin. Dòng tiền thực sự tìm đến nơi trú ẩn an toàn là vàng. Bitcoin và vàng hiện có tương quan nghịch rất mạnh, cho thấy Bitcoin hiện được coi là tài sản mạo hiểm để tìm kiếm lợi nhuận, chứ không phải là "vàng kỹ thuật số" để phòng ngừa rủi ro. Kết luận cho rằng để dòng tiền lớn quay trở lại với Bitcoin, cần ba điều kiện: áp lực thanh khoản toàn cầu giảm bớt, Fed cắt lãi suất mà không gây suy thoái, và quan trọng là dự luật CLARITY được thông qua để giải quyết các vấn đề pháp lý. Tuy nhiên, việc Bitcoin thể hiện mối tương quan thấp với thị trường chứng khoán (đặc biệt là Nasdaq) trong đợt biến động này có thể lại là điểm hấp dẫn đối với các định chế tài chính đang tìm kiếm sự đa dạng hóa danh mục sau khi tập trung quá mức vào AI. Vị thế của Bitcoin vẫn còn đó, chỉ chờ dòng tiền toàn cầu quay trở lại.

marsbit1 giờ trước

Cổ phiếu sụt giảm còn mạnh hơn cả thị trường tiền điện tử, tiền đã đi đâu?

marsbit1 giờ trước

Dự án tiền điện tử được hỗ trợ bởi 140 công ty, bao gồm Visa và BlackRock, đã được khởi chạy! Altcoin khổng lồ này đã được chọn!

Dự án Open USD (OUSD), một stablecoin thế hệ mới hướng đến các nhà đầu tư tổ chức, chuẩn bị ra mắt. OUSD được hỗ trợ bởi một liên minh hơn 140 công ty, bao gồm các gã khổng lồ như Visa, Mastercard và BlackRock, và sẽ được triển khai ban đầu trên mạng Ethereum. Mục tiêu chính của OUSD là đơn giản hóa các giao dịch bằng đồng đô la kỹ thuật số cho doanh nghiệp, cho phép phát hành và trao đổi mà không có phí hoặc giới hạn khối lượng. Một điểm nổi bật của stablecoin này là mô hình chia sẻ doanh thu từ tài sản dự trữ với các đối tác trong hệ sinh thái, sau khi trừ đi phí vận hành, thể hiện một cách tiếp cận khác biệt so với một số mô hình stablecoin lớn hiện có. Việc ra mắt OUSD trên Ethereum được xem là có ý nghĩa quan trọng trong việc củng cố vị thế hàng đầu của nền tảng này trong lĩnh vực tài chính tổ chức, đặc biệt là cho các ứng dụng stablecoin, tài sản thế chấp thế giới thực (RWA) và mã hóa tài sản.

cryptonews.ru1 giờ trước

Dự án tiền điện tử được hỗ trợ bởi 140 công ty, bao gồm Visa và BlackRock, đã được khởi chạy! Altcoin khổng lồ này đã được chọn!

cryptonews.ru1 giờ trước

Giao dịch

Giao ngay
活动图片

Danh mục Phổ biếnright-arrow

Thẻ Nổi bậtright-arrow