Predict.fun承诺全额赔付29个钱包被盗的40万枚USDT

承诺赔付直接损失

预测市场平台Predict.fun已承诺对钱包安全事件中遭受直接损失的用户进行全额赔偿,估计损失规模约为40万USDT,这是由Tether发行的与美元挂钩的稳定币。该公司在10月27日星期二发布的一份声明中表示,少量用户钱包发生了未经授权的转账,其还款承诺涵盖在该事件中直接损失资金的每一个用户。该公司公布的数字是损害规模,而不是宣布赔付已经完成。只有直接损失的用户才包含在承诺范围内,该公司将其定性为承诺而非已完成的付款。

损失分两波累积,第一波转账发生在10月22日星期四,第二批发生在10月27日星期二,总共从29个用户钱包中提取。USDT价格全程保持其美元挂钩,因此该事件是托管和密钥安全失败,而非市场事件。Predict.fun的初步调查结果确定由外部供应商托管的API文档网站的短暂泄露为可能的入口点,该公司已将该网站下线,直到调查结束。它强调,对文档网站的怀疑泄露是初步判断;从该网站到未经授权的钱包转账的路径尚未确认。该平台未披露有多少用户受影响、完成还款的时间表,或受影响的钱包是否共享任何基础设施或服务提供商。它承诺在调查结束后发布事后报告,阐明事件顺序及为防止重复而采取的措施。

通过Tornado Cash的链上路径

链上分析公司Bitquery检查了BNB Chain交易记录,并统计了两波流出总额397,708 USDT,该数字接近Predict.fun披露的大约40万USDT。第一波在10月22日,从六个钱包中移出125,029 USDT。第二波截至10月27日测量,达到272,679 USDT。在该第二波中,该公司记录到大约262,000 USDT在34分钟内离开19个钱包,这种集中度表明是脚本化执行而非手动提款。29个被盗钱包的总计数统计的是资金离开的地址,而非受影响的用户数量,因为一个用户可以操作多个地址。

最具决定性的发现是签名证据:Bitquery对33笔未经授权转账的分析显示,每一笔都是用其被盗钱包的持有者密钥签名的。没有一笔交易调用Predict.fun的市场或交易合约。每个私钥签名证明交易方在转账时控制着该钱包,但仅凭链上记录无法显示是谁持有这些密钥或如何获取它们。追踪将部分收益置于从BNB Chain到以太坊网络然后进入Tornado Cash的路径上,Tornado Cash是一种旨在混淆资金来源的加密混币器;调查报告记录了166.8 ETH存入该混币器。仅凭资金流向无法识别是谁转移了资金。在Predict.fun发布其声明大约一小时后,另一笔4,900 USDT从另一个账户流出,该公司将该转账计入其总额中。今年该行业重复发生此类配置的资金流失,包括安全研究人员标记的485万USDT以太坊资金流失,以及CoinDCX退役钱包的1599万USDT损失。

持有者密钥签名将矛头指向协议之外

33笔用个人持有者密钥签名的转账,分布在五天内且从未触碰平台合约,表明是被入侵的用户密钥材料,而非协议级漏洞。错开的时间不利于单一的泄露种子短语,后者通常会同时暴露每个钱包;逐个密钥的泄露(如钓鱼攻击)更符合记录,安全研究人员在旨在收割USDT的假网站中记录了这种模式。到目前为止,响应所改变的有限:可疑的文档网站已下线,且赔付承诺已在案。它留下的未解问题更大:确认的攻击向量、如何获取29个单独密钥的说明,以及任何已完成的付款。Predict.fun的事后报告仍然是一个意图,而非已发布的成果。