Взлом протокола Truebit приписывается неправильной конфигурации расчета цены контракта

Компания по безопасности блокчейнов SlowMist опубликовала свой отчет об аудите взлома, в результате которого из протокола Truebit было выведено $26 миллионов. 

Согласно отчете, корневой причиной атаки стало то, что операция сложения в числителе расчета цены контракта Purchase не использовала библиотеку SafeMath для защиты от переполнения. 

Как произошел взлом Truebit? 

Отчет аудита SlowMist показал, что контракт Truebit, по сообщениям, был скомпилирован с использованием Solidity 0.6.10, и нативный оператор + не включает проверки на переполнение. Атакующий смог нанести большой ущерб, создав определенную сумму для минта, которая вызвала операцию сложения превысить максимальное значение uint256 и обернуться вокруг. 

Функция установила цену = 0, что позволило осуществлять минтинг токенов с почти нулевой стоимостью и проводить арбитраж. Хакер быстро воспользовался этим, чтобы вывести 8 535 ETH (~26,44 млн долларов). В отчете команда SlowMist дала рекомендации. 

«Команда по безопасности SlowMist рекомендует, чтобы для контрактов, скомпилированных с версиями Solidity ниже 0.8.0, разработчики обеспечивали защиту всех арифметических операций с помощью библиотеки SafeMath для предотвращения уязвимостей логики, вызванных переполнением целых чисел», — говорилось в отчете. 

Команда Truebit признала взлома, идентифицировав затронутый смарт-контракт и посоветовав публике воздержаться от взаимодействия с ним до дальнейшего уведомления. 

«Мы находимся в контакте с правоохранительными органами и принимаем все возможные меры для решения ситуации. Мы будем публиковать обновления через наши официальные каналы по мере их появления», — заявили они. 

Спустя день команда заявила, что усердно работает над устранением инцидента и что она «привлекла дополнительные ресурсы для усиления отслеживания и восстановления», пообещав обновлять информацию через официальные каналы.

В разделе комментариев к публикации участники сообщества предложили различные дальнейшие шаги команде, при этом большинство утверждало, что протокол стал непригодным для использования, что маловероятно восстановление средств и что команде следует признать это. 

Комментаторы отметили, что полное восстановление может быть невозможным. 

Токен $TRU все еще обесценился на 100%, изменение в процентах равно нулю, и с момента взлома на основных платформах практически не зафиксирован торговый объем, что отражает полное отсутствие веры в потенциал проекта к восстановлению.

Взлом Truebit дал кратковременный импульс Uniswap 

Cryptopolitan сообщал 8 января Uniswap зафиксировал более 1,4 млн долларов ежедневного дохода от торговых комиссий — это самый высокий показатель, когда-либо зафиксированный платформой с момента ее основания. 

Однако этот рекордный показатель имел оговорку. Согласно дашборду Dune , созданным аналитиком по имени Марков, почти 1,3 млн долларов этих комиссий поступило напрямую от сделок, связанных с токеном TRU проекта Truebit. 

Марков теперь исключил эти значения из живого дашборда, поскольку стоимость токена упала до нуля, и они не будут использованы для сжигания UNI.