1月9日凌晨、Truebit Protocol早年に展開された未公開のコントラクトが攻撃者に成功裏に悪用され、8,535.36 ETHが失われ、約2640万ドルに相当します。セキュリティチームはこの事件について詳細な追跡分析を行いました。

攻撃の流れの解説

主な攻撃取引のハッシュ：0xcd4755645595094a8ab984d0db7e3b4aabde72a5c87c4f176a030629c47fb014

攻撃者の操作手順は非常に明確です：

まず、getPurchasePrice()関数を呼び出して価格情報を照会します。次に、核心的な脆弱性に向かいます——欠陥のある0xa0296215()関数を呼び出し、非常に低いmsg.valueを設定します。コントラクトのソースコードは公開されていませんが、逆コンパイルの結果、この関数には算術的なロジックの脆弱性が存在し、おそらく整数の切り捨て処理の不備によるものと考えられます。そのため、攻撃者は大量のTRUトークンを空から鋳造することができました。

次に、現金化の段階です。攻撃者はburn関数を通じて鋳造したトークンをコントラクトに「売却」し、多量のETHを引き出します。このプロセスは4回繰り返され、各回でmsg.valueの値を増加させ、最終的にコントラクトのETH備蓄をほぼ空にしました。

資金の追跡

オンチェーンのデータによると、チームはブロックチェーン調査・追跡ツールを用いて盗まれた資金の行方を追跡しています…（原文は続きが未提供）