2026-01-13 00:21:22

Дорогие друзья, DeFi снова на слуху. Протокол Truebit на этот раз пострадал очень сильно — хакер прямо украл 8535 ETH, что по курсу составляет более 1.8 миллиарда юаней. Вы могли подумать, что это какая-то сложная атака, но на самом деле всё наоборот.

Хакер использовал уязвимость "переполнение целого числа", которая уже давно считается устаревшей. Контракт Purchase в Truebit при вычислении цены не имел защиты от переполнения целых чисел. Именно эта ошибка позволила хакеру с минимальными затратами создать астрономическое количество токенов $TRU. Вывод средств, побег — весь процесс прошёл как по маслу, словно он вошёл в открытый сейф.

Ирония в том, что это не первый раз, когда проект терпит неудачу из-за такой ошибки. Проекты BEC, SMT уже сталкивались с подобной уязвимостью и провалились, а сейчас такие же грубые ошибки допускают и другие. Честно говоря, это всё — игра на деньги пользователей.

Команда безопасности SlowMist уже подняла тревогу: все контракты, разработанные на Solidity ниже версии 0.8.0, должны немедленно добавить защиту SafeMath для всех арифметических операций. Иначе следующий проект, который пострадает, — это может быть ваш. Это не пустые слова, а реальный урок. Безопасность экосистемы ETH требует серьёзного отношения каждого разработчика.

ETH0,71%

TRU-2,69%

Посмотреть Оригинал

На этой странице может содержаться сторонний контент, который предоставляется исключительно в информационных целях (не в качестве заявлений/гарантий) и не должен рассматриваться как поддержка взглядов компании Gate или как финансовый или профессиональный совет. Подробности смотрите в разделе «Отказ от ответственности» .

13 Лайков

Награда
13
6
Репост
Поделиться

комментарий

0/400

HypotheticalLiquidator

· 01-16 00:10

Уязвимости десяти лет назад все еще приводят к потерям, это уже слишком. Порог контроля рисков фактически не работает, следующая доминошка уже на подходе.

Посмотреть ОригиналОтветить0

SchroedingersFrontrun

· 01-13 23:40

靠，整数溢出都能重来一遍？开发者这是在干嘛呢十年前的漏洞还要反复教训，真的服气 SafeMath了多少年了，还有人敢不加？这不就是作死吗 1.8亿就这么没了，用户真的该绝望了 BEC、SMT的教训呢，怎么就当没看见... 这波我觉得Truebit团队也挺离谱的，审计没做好？ Solidity 0.8以下还在用，不是自己找揍吗又来一次，ETH生态这几年安全事故真的没停过代码这东西不能偷懒啊各位，教训这么沉重呢

Ответить0

CompoundPersonality

· 01-13 00:46

Целочисленные переполнения могут привести к проблемам, как же это небрежно, ведь еще во времена BEC это уже происходило, и сейчас повторяется Уязвимости десяти лет назад так и не были исправлены, получается, что они ставят на кон кровные деньги пользователей SafeMath нужно обязательно использовать, иначе кто осмелится трогать эти контракты 1.8 миллиарда просто так исчезли, это безумие Вот почему говорят, что DeFi все еще развивается в дикой форме, безопасность действительно практически отсутствует

Посмотреть ОригиналОтветить0

SchrodingerGas

· 01-13 00:45

Целочисленный переполнение — это уязвимость, которая существует уже десять лет и продолжает разрушать проекты. По сути, разработчики вообще не воспринимают безопасность всерьез, они просто используют деньги пользователей для азартных игр. Этот случай с Truebit — это баланс сил в игре — стоимость защиты против вероятности взлома. В результате, одна группа выбрала путь защиты с нулевой стоимостью, и теперь 1.8 миллиарда исчезли. Эффективность рынка, понимаете ли. SafeMath — это не опция, и я заблокировал все проекты, которые не установили его до снимка тестовой сети. Кто рискнет этим — тот сам рискует провалом. Чтение этой новости поздно ночью немного выбило из колеи. BEC и Truebit — такие разные годы, а ошибки всё те же. Это показывает, что безопасность в блокчейне в конечном итоге — это проблема людей.

Посмотреть ОригиналОтветить0

SmartMoneyWallet

· 01-13 00:33

1.8 миллиарда просто так исчезли, разве что-то вроде переполнения целых чисел, которое существует уже десять лет, все еще актуально? Разработчики действительно не воспринимают безопасность всерьез. Говоря откровенно, это просто лень, никто даже не использует SafeMath, кому от этого хуже? Если в этот раз потеряются деньги розничных инвесторов, снова услышите старую песню "инвестиции связаны с риском". Контракты на Solidity ниже 0.8.0 я полностью занес в черный список, те, кто продолжает держать их в сети, — это бомбы замедленного действия. Данные в блокчейне сразу показывают, кто рискует жизнью, проблема в том, что большинство даже не смотрит и просто врывается. Эта ситуация — не единственный повод для размышлений, вся распределенная экосистема должна быть четко понятна, чтобы не допустить третьего сбора с таких же ошибок.

Посмотреть ОригиналОтветить0

ZeroRushCaptain

· 01-13 00:29

Уязвимости десяти лет назад все еще собирают урожай — это и есть DeFi, обратные индикаторы один за другим. Я ставлю, что следующий проект, который взорвется, будет в вашем списке all in прямо сейчас.

Посмотреть ОригиналОтветить0