Vào rạng sáng ngày 9 tháng 1, một cuộc tấn công bất ngờ đã biến hợp đồng được triển khai của Truebit Protocol cách đây năm năm thành một "cây ATM" — kẻ tấn công đã rút hết 8.535,36 ETH trong hợp đồng trong thời gian ngắn, theo giá lúc đó có giá trị khoảng 26,4 triệu USD.

Phân tích của đội bảo mật đã làm sáng tỏ sự kiện này. Phương pháp tấn công không phức tạp, nhưng lại cực kỳ hiệu quả.

**Quy trình tấn công như sau:**

Trước tiên, kẻ tấn công gọi hàm getPurchasePrice() để nghe trộm thông tin giá. Tiếp theo, họ nhắm vào hàm bị lỗi trong hợp đồng, gửi lệnh gọi với msg.value cực kỳ nhỏ. Vì mã hợp đồng không mở mã nguồn, thông qua phân tích ngược, dự đoán rằng hàm này tồn tại lỗi logic số học — rất có thể là xử lý cắt ngắn số nguyên không đúng, cho phép kẻ tấn công tạo ra một lượng lớn token TRU từ không có gì.

Sau đó là bước then chốt: thông qua hàm burn, "bán lại" những token được tạo ra từ không có gì cho hợp đồng, từ đó rút ra ETH thực. Thao tác này được thực hiện lặp lại 5 lần, mỗi lần msg.value tăng dần, cuối cùng rút hết gần như toàn bộ dự trữ ETH trong hợp đồng.

Sự kiện này đã gióng lên hồi chuông cảnh báo cho ngành — thậm chí các dự án "cũ" được triển khai cách đây năm năm, nếu logic hợp đồng có lỗ hổng và không được cập nhật kịp thời, vẫn có thể trở thành con mồi trong mắt những kẻ hack.