Le 9 janvier au petit matin, une attaque soudaine a transformé un contrat déployé il y a cinq ans par Truebit Protocol en une "machine à sous" — l'attaquant a vidé en peu de temps 8 535,36 ETH du contrat, ce qui représentait environ 26,4 millions de dollars au prix de l'époque.

L'analyse de l'équipe de sécurité a levé le voile sur cet incident. La méthode d'attaque n'était pas complexe, mais extrêmement efficace.

**Voici comment l'attaque s'est déroulée :**

Tout d'abord, l'attaquant a utilisé la fonction getPurchasePrice() pour recueillir des informations sur le prix. Ensuite, il a ciblé une fonction présente dans le contrat présentant une faille, en lançant un appel avec un msg.value très faible. Comme le code du contrat n'était pas open source, une décompilation a permis de supposer que cette fonction comportait une vulnérabilité logique arithmétique — probablement une gestion incorrecte du troncature des entiers, permettant à l'attaquant de créer de toute pièce une grande quantité de tokens TRU.

Puis, étape cruciale : en utilisant la fonction burn, il a "revendu" ces tokens fabriqués de toutes pièces au contrat, en en retirant de l'ETH réel. Cette opération a été répétée 5 fois, avec une augmentation progressive du msg.value à chaque fois, aboutissant finalement à vider presque entièrement la réserve d'ETH du contrat.

Cet incident a lancé un avertissement à l'industrie — même pour un projet déployé il y a cinq ans, si la logique du contrat comporte des vulnérabilités et n'est pas mise à jour rapidement, il peut toujours devenir une cible pour les hackers.