一個計算漏洞,讓 Truebit 被盜 8535 枚 ETH

By: blockbeats|2026/01/13 17:00:06
0
分享
copy
原文標題:《Truebit Protocol被盜2644萬美元合約漏洞分析》
原文來源:ExVul Security

2026 年 1 月 8 日,Truebit Protocol 協議遭到黑客攻擊,損失 8,535.36 ETH(約 2644 萬美元),Truebit Protocol 官方於次日凌晨發文證實。ExVul 安全團隊對本次攻擊事件進行了詳細的漏洞分析,分析結果如下:

攻擊流程

攻擊者地址:

0x6c8ec8f14be7c01672d31cfa5f2cefeab2562b50

攻擊交易 hash:

0xcd4755645595094a8ab984d0db7e3b4aabde72a5c87c4f176a030629c47fb014

攻擊者通過循環 4 輪調用 getPurchasePrice→0xa0296215→0xc471b10b 的交易完成攻擊,以第一次循環為例分析。

1. 攻擊者先調用 getPurchasePrice(240442509453545333947284131) 函數,返回 0。

一個計算漏洞,讓 Truebit 被盜 8535 枚 ETH

2. 攻擊者調用 0xa0296215(c6e3ae8e2cbab1298abaa3) 函數,同時 msg.value 為 0。最後成功鑄造 240442509453545333947284131 枚 TRU。

3. 攻擊者調用 0xc471b10b(c6e3ae8e2cbab1298abaa3) 函數。最後銷毀 240442509453545333947284131 枚 TRU,獲得 5105.06 枚 ETH。

攻擊邏輯分析

通過了解上述攻擊流程,能明顯發現 getPurchasePrice 函數與 0xa0296215 函數的邏輯存在問題。下面開始深入分析(由於合約未開源,下面的代碼均為反編譯代碼)。

通過比較兩個函數的共同點,我們可以發現 0x1446 函數的用於獲取購買指定數量的 TRU 需要多少 ETH。顯然 0x1446 函數邏輯存在問題,導致 ETH 計算錯誤。下面詳細分析 0x1446 函數中的邏輯。

觀察 0x1446 函數中的邏輯,因為最後的計算結果 v13  == 0,所以一定是上文中的計算邏輯出現了問題。需要了解的是 0x18ef 功能與 _SafeMul 相同,因此問題出在使用原生加分 v12 + v9(合約版本為  ^0.6.10,因此無溢出檢查)。

v12 與 v9,分別表示:

通過上述分析,攻擊者的攻擊思路是通過輸入巨大的 _amountIn,使 v12 + v9 溢出成一個很小的值,最後使 (v12 + v9) / v6 == 0。

總結

Truebit Protocol 本次被攻擊事件的根本原因在於其代幣購買價格計算邏輯存在嚴重的整數溢出漏洞。由於合約使用的是 Solidity ^0.6.10 版本且未對關鍵算術運算進行安全檢查,最終造成 8,535.36 ETH 的重大損失。目前新版本的 Solidity 本身已經緩解了溢出漏洞。這起攻擊事件應該是黑客在利用 AI 自動化地去掃描一些已經上線的老的 DeFi 協議發現的漏洞(包括前一段時間的 Balancer 以及 yETH 攻擊),我們認為此類利用 AI 攻擊一些老 DeFi 協議的攻擊事件近期會越來越多,所以建議專案方對合約代碼能進行新的安全審計,如果發現漏洞,需盡快升級合約或者進行資產轉移,並且做好鏈上監控,及時發現異常,把損失降到最低。

本文來自投稿,不代表 BlockBeats 觀點。

猜你喜歡

加密貨幣市況低迷,但市場預測卻表現火爆?

僅在 Polymarket 上,「美國超級碗冠軍」相關預測事件的交易量就超過 7 億美元。

解讀策略公司最新財務報告:在124億美元虧損後,比特幣飛輪還能持續運轉多久?

當財報成為比特幣價格的心電圖,Strategy已非單純的公司——它是一場實驗,在檢驗信念能否戰勝重力。

了解如何參與質押

質押是 WEEX 平台推出的數字資產收益產品。通過訂閱質押產品,用戶可以質押閒置的數字資產並獲得相應的質押獎勵。

人工智能代理正在取代加密貨幣研究?自主人工智能如何重塑加密貨幣交易

人工智能正從輔助交易者轉向自動化整個加密貨幣市場的研究到執行流程。優勢已從人類洞察力轉向數據管道、速度和可立即執行的AI系統,AI整合的延遲正成為競爭劣勢。

加密貨幣市場中的AI交易:從自動化交易機器人到算法策略

人工智能驅動的交易正推動加密貨幣市場從散戶投機轉向機構級競爭,在此領域中,交易執行與風險管理的重要性已超越趨勢判斷。隨著人工智能交易規模的擴大,系統性風險與監管壓力同步攀升,這使得長線業績表現、穩健的系統架構以及合規性成為核心競爭優勢。

人工智能情緒分析與加密貨幣波動性:什麼因素會影響加密貨幣價格

人工智能情緒正日益影響加密貨幣市場,人工智能相關預期的變化會轉化為主要數字資產的波動率。加密貨幣市場往往會放大人工智能相關的敘事,使得情緒驅動的資金流動在空頭貸款期限超過基本面因素。了解人工智能情緒的形成和傳播方式,有助於投資者更好地預測風險週期,並把握數字資產的投資機會。

熱門幣種

最新加密貨幣要聞

閱讀更多