TRO:Discord深度挖掘還原，wojak究竟如何轉走2600萬TRX 的？_New TronFun Token

隨著新一天的調查，更多證據被各方挖掘出來，本次事件的真相正在逐漸浮出水面，戲劇化程度堪比一場年度大戲。文末還附上了wojak的財富密碼。本文是TronBank被盜的續集，沒有讀過上一篇文章的讀者，請先移步閱讀《被盜1.7億BTT今又被盜2600萬TRX，TronBank在刻意埋藏后門？》

原文標題：《2600萬TRX被盜背后的羅生門——第二集》

作者：DR小伙伴

注：以下調查的信息收集全部來自于Discord頻道ScamWatch、Telegram群「TronBank抱團維權」，以及DappReview與關聯人的聊天記錄。

wojak反悔退款

自從5月3日晚上9點wojak出現并貼出一份退款對比名單之后，再次從Discord消失，在此期間很多人開始給wojak打上Scammer的標簽，并認為「他不會退款，可能已經開上蘭博基尼去度假了」，諸如此類言論不絕于耳。

5月5日中午12點

wojak再次現身，聲稱「我投入了8個小時寫工具來給所有人退款，等我寫完代碼回來發現大家都在把我想象成是一個騙子，而沒有意識到Tronbank才是放置后門坑了你們的人。你們原本會因此損失所有的投資。但在看到你們把我當成騙子而不是開發者后，我認為我沒有任何理由把TRX退還給你們」。

此番言論遭到眾人反駁，wojak堅持認為自己所做的事情并不違法，自己也不是小偷，只是發起了一筆交易調用了智能合約，并且遵守了智能合約的規則。此后，wojak再也沒有表示過退款的可能性，而是讓所有人去找Tronbank進行索賠。

DeFi平臺Atlendis已獲法國加密許可證并獲BPI銀行100萬歐元貸款:7月25日消息，法國DeFi平臺Atlendis已獲得PSAN牌照，相當于法國的加密服務提供商許可證，這表明該平臺致力于遵守法國加密法規以及即將出臺的歐洲法規MiCA。值得注意的是，PSAN注冊充當了這些新規則的模型。另外，Atlendis還從法國公共投資銀行BPI獲得了100萬歐元（合1,108,055美元）的貸款。

新產品允許直接進行加密貨幣-法幣交易，為現實世界用例提供鏈上流動性。此舉與純金融領域的許多早期區塊鏈舉措一樣，預計將通過鏈上自動化來降低成本并加快流程。[2023/7/25 15:57:21]

證據開始指向TSC開發者Khanh

5月5日中午12點

在真相依舊處于眾說紛紜的迷霧之中時，telegram中某開發者發現了一條關鍵證據，進而扭轉了整個調查的方向，把更多的信息帶出水面。

TTX5N2wxLeyWBSNE6UeaBjCFZbpa2FH6jr該地址于4月28日部署了一個與事發TRXPro合約有同樣后門的「測試合約」，并在4月30日對后門進行了測試。

如上圖所示，TTX5N**該地址用同樣的方式發送了0.011911TRX調用withdraw函數，觸發后門，提走自己事先存入的約100TRX。

也就是說，在被盜時間約4天之前，竟然已經有人熟知此后門以及其調用方式。當我們去反編譯該測試合約并與TRXPro被盜合約對比時，不難發現：

反編譯工具：https://www.trustlook.com/products/smartcontractguardian

安全團隊：AzukiOfficial的Discord服務器遭到攻擊:金色財經消息，據CertiK監測，@AzukiOfficial的Discord服務器遭到攻擊。請社群用戶在服務器修復之前不要點擊任何鏈接！[2023/1/28 11:33:37]

這兩段代碼的后門部分完全一致！

而且更為神奇的是，「測試合約」的部署時間比項目方部署的正式合約竟然早了5小時23分鐘。

毫無疑問，TTX5N**地址與本次后門事件必定脫不了關系。

而該地址的所有者是誰呢？

打開TSC的網站https://tronsmartcontract.space，點擊AboutUs

這正是TSC的開發者Khanh所擁有的地址

至此，Discord和tg群各路開發者開始梳理Khanh地址以及Tronbank開發者地址的合約部署、調用信息，梳理出以下時間線。

驚人的時間線

以上為Discord頻道中梳理的時間線，下面我們按照北京時間進行更細節的梳理。

4/28/20194:07PM

TronBank開發者部署了TRXPro的測試合約，該合約中通過反編譯并沒有發現后門，合約地址為：

https://tronscan.org/#/contract/TAWLPqFn33U7iaAfP6cXRdJXcBUc1ewCRJ

4/28/20195:35PM

僅在一個半小時后，由TSC開發者Khanh所擁有的地址TTX5N部**署了上文提到的「測試合約」，該合約中存在后門代碼，合約地址為：

MDIS完成第五次集中回購銷毀:據官方消息，目前MDIS已經完成了第五次回購銷毀，本次銷毀MDIS數量為827,204個，累計銷毀數量2,503,162個，銷毀操作哈希為：0x886c4899bb7d3b9300e4dd25758fac47b866037039edb364ccdb482f7296b63e

與此同時，MDIS團隊也銷毀了原團隊份額內的所有代幣，本次銷毀MDIS數量為46,901個，累計團隊部分已銷毀220,570個，并且團隊表示，仍將持續繼續銷毀團隊份額代幣，銷毀操作哈希為：0xbe90e1414ce6232e09eebb350d31dc89b812ccd3ece7c1cd135ed64006f785bc[2021/3/27 19:22:50]

https://tronscan.org/#/contract/TYZ4oPdPmwZS9xTUXhnFtQkPFFTi2iAydz

4/28/201910:48AM

Tronbank開發者了部署TRXPro的正式版合約，該合約即被盜合約，其中有后門代碼，合約地址為：

https://tronscan.org/#/contract/TW9AE7u5QADp2uej9xdaNVTYtqsRuJZNxJ

4/28/201911:00PM

在12分鐘之后，TSC開發者Khanh調用TRXPro的正式版合約，并發送0.011011來測試后門。該筆交易記錄為：

https://tronscan.org/#/transaction/d6d89713ebdb98402ddfd1d454be394a5521c83b7d385ce2c394924a2b923c89

ID Distribution與Groupe JRI成立合資企業 旨在將巴黎房地產代幣化:法國金融科技公司ID Distribution宣布與當地房地產公司Groupe JRI成立一家合資企業，旨在將巴黎的各種房地產代幣化。

根據6月17日的公告，ID Distribution和Groupe JRI計劃聯合發行證券型代幣和法蘭克福上市債券，以收購巴黎市中心的建筑物。將動用的資金總額為7000萬歐元（約合7850萬美元），用于購置5棟建筑，然后出租。使用證券型代幣是為了比傳統債務工具更好地增強資本。此外，ID Distribution和Groupe JRI的證券型代幣收益率將達到6.5%。代幣將通過代幣化平臺wezee.io在私有區塊鏈上發行。（Cointelegraph）[2020/6/19]

4/30/201910:12AM

TSC開發者Khanh調用自己在4/28/20195:35PM部署的存在后門的「測試合約」，觸發后門，并取走自己充進去的100TRX，該筆交易記錄為：

https://tronscan.org/#/transaction/87bf173c126c4873ad333c02d4e352bacda9bfaae4d91d0bce156eb64bd5219f

5/3/20194:11AM

wojak調用TRXPro的正式版合約withdraw函數，第一筆轉入了0.000123，并沒有任何效果，交易記錄為：

https://tronscan.org/#/transaction/aabfc7b6cedb2e8ce055c7fdc7a62df558213c63a33092293886b0e4b58277e5

動態 | Bitfury Group推出新型挖礦服務器Bitfury Tardis:據日本時事新聞報道，全球領先的綜合區塊鏈技術服務提供商Bitfury Group今日發表推出最新的企業級新型挖礦服務器“Bitfury Tardis” 。 Bitfury Tardis是最新一代Bit Fury的B8挖礦服務器。[2018/10/9]

5/3/20194:12AM

1分鐘后，wojak再次調用TRXPro的正式版合約withdraw函數，轉入0.011911，成功觸發后門，提走合約余額2673萬TRX，交易記錄為：

https://tronscan.org/#/transaction/e26666a806e24697fd049e60cf83cf412f58d85cdb0493c014cef0d29d8bdc2e

根據以上信息，可以歸納出兩個事實：

1、Tronbank上線之前的測試版本合約，沒有后門，但最終線上正式版存在后門；

2、TSC開發者Khanh在Tronbank測試版合約發布當天部署過一個有相同后門的合約，并且知道后門的調用方式，且在4月30日自己進行過測試。也就是說，該后門與TSC脫不了關系。

在與Tronbank團隊的溝通中，開發者提到，他們是使用TSC進行編譯的。

注：以下內容是基于現有事實依據的可能性探討，不代表最終結論和真相，請再次傳播時不要斷章取義。

在第一篇文章《被盜1.7億BTT今又被盜2600萬TRX，TronBank在刻意埋藏后門？》中，我們曾提到過三種可能性：

可能性一：Tronbank開發者在實際部署的合約中夾雜私貨放置了后門，并成功欺騙了TSC完成了另一份沒有后門的代碼驗證；

可能性二：Tronbank團隊和TSC團隊合謀，部署了有后門的合約，同時TSC協助用另一個沒有后門的合約完成驗證；

可能性三：Tronbank團隊沒有在合約中放置后門，而是后門在合約部署過程中以某種方式產生。

根據以上掌握到的更新信息，第一種可能性被否決，因為整個事件中，TSC開發者是最早調用后門的人，并不存在不知情被欺騙的情況，而第三種可能性的概率極大地增加。TSC集合了編譯、部署、驗證的一條龍服務，從理論上來說，如果開發者使用TSC進行編譯并部署，期間確實有可能增加后門代碼。

在事發當天5月3日，Discord上詢問為什么TRXPro的實際運行代碼與驗證代碼不一致時，Khank的回應如下：

上午7點22分回應：我剛起床聽到消息，讓我來掃描一下所有

晚上9點18分回應：各位抱歉，我也不知道為什么他們通過了我的代碼

而5月5日當Khank的地址部署過后門合約并且調用的證據出現后，在Discord網友的質疑下，Khanh的回應如下：

MrFahrenheit：你怎么解釋你的地址對另一個合約調用過可以觸發后門的交易？

Khanh：我的私鑰泄露了，github的密碼也泄露了

這個回應顯然過于蒼白，一方面人們質疑如果私鑰泄露為什么官網還掛著這個地址，另一方面該地址中還有28,052TRX沒有被轉走。

此時此刻根據已有的信息進行客觀的分析，存在的可能性依舊有以下幾種：

可能性一：Tronbank團隊和TSC團隊合謀，部署了有后門的合約，同時TSC協助用另一個沒有后門的合約完成驗證。

可能性二：Tronbank團隊沒有在合約中放置后門，而是后門在合約部署過程中以某種方式產生。

以上的兩種可能性中，目前的證據對于而言偏向于第二種可能性，Tronbank團隊目前正在多次與Khanh溝通，并將部分對話截圖貼出，Tronbank團隊堅持沒有放置任何的后門，而是指向TSC是真正放置后門的元兇。目前雖沒有決定性的證據顯示后門是由Khanh放置，但是TSC和Khanh自身與后門已經脫不了干系。

可能性三：Khanh的github賬號被盜，地址私鑰泄露，幕后黑手另有其人。

關于這一點依照現有的證據，可能性較低，Khanh的回應含糊其辭，也并沒有提供賬戶被盜的證據

至此最終的謎題仍未解開，這一場年度大戲尚未落下帷幕，更多的證據仍待挖掘。

wojak的財富密碼

整個事件中，wojak的那一筆神奇的交易依舊是關注本次事件的群眾口中一直談論的話題。究竟是什么樣的奇技巧能讓自動執行的代碼找到后門，并且觸發后門？

在DappReview與wojak的對話中，給出了答案：

wojak的靈感來自于2018年8月的一篇論文《TEETHER:GnawingatEthereumtoAutomaticallyExploitSmartContracts》

該論文主要講了什么呢？

基于底層的EVM指令，提出了存在漏洞的智能合約的一種廣義定義；

提出了TEETHER工具，該工具能夠對于智能合約的字節碼進行自動化的漏洞識別并生成相應的漏洞利用代碼；

對于以太坊區塊鏈中部署的38,757個智能合約進行了大規模的漏洞分析，其中TEETHER工具發現了815個合約中的漏洞，整個過程完全自動化。

用一個不恰當但是通俗的比喻來說：TEETHER工具就是一臺能自動從智能合約找漏洞并且提款的ATM機。

wojak基于這篇文章做了什么事情？

1、把TEETHER工具針對波場虛擬機做了適配；

2、收集波場上所有智能合約；

3、對所有的合約執行TEETHER工具來分析；

4、找到可能的套利機會比如從合約A中以X的價格購買某Token，然后在合約B中以Y價格賣出，整個流程都是自動化執行而且合法；

5、工具會產生一系列可能產生收益的交易列表；

6、腳本自動執行并出發這些交易。

本質上，那一筆神奇的交易就是這樣自動觸發的，連他自己都不知道發生了什么。至于wojak本身的行為是否可以定義為「黑客」，或者「違法」，此處暫且不展開深究。

有興趣研究這篇「財富密碼」的請看：

https://publications.cispa.saarland/2612/1/main.pdf

截至發稿，Tronbank已經宣布完成了鏈上投資數據的收集，統計完成后將按照原計劃發放賠付TRX。此外，TSC開發者Khanh已經關閉了個人Twitter和Facebook。

來源鏈接：mp.weixin.qq.com

Tags：TROtronRONDISmetro幣怎么提現New TronFun Tokentronlink錢包哪個國家的Disbalancer

非小號