Truebit Protocol 8 января 2026 года пережил серьезный инцидент безопасности. Согласно отчету аналитической компании SlowMist, эта атака была вызвана критической уязвимостью в контракте Purchase.

Конкретно проблема заключалась в модуле расчета цены. Из-за использования версии Solidity 0.6.10, которая не имеет встроенной защиты от переполнения, контракт был уязвим к переполнениям при выполнении целочисленных сложений. Атакующий использовал это, тщательно создавая серию экстремальных операций по чеканке. Вводя аномально большое количество чеканки, он заставлял расчет цены в контракте напрямую опускаться до нуля.

Обнаружив уязвимость нулевой цены, последующие арбитражные операции стали очень простыми. Атакующий многократно выполнял цикл "чеканка — сжигание", получая прибыль без затрат на каждом этапе. Этот процесс продолжался, в итоге полностью опустошив резервный пул контракта. Согласно статистике, в ходе этой атаки злоумышленник получил примерно 8,535 ETH.

Этот инцидент вновь напомнил разработчикам о необходимости особой осторожности при обработке целочисленных операций. Даже такие казалось бы простые операции, как сложение, требуют явной защиты до внедрения автоматических проверок в более новых версиях Solidity. Для DeFi-проектов расчет цен — это особенно важная часть, ведь даже небольшая ошибка в вычислениях может привести к крупным экономическим потерям.