DeFi Hackers Stole $36.7M From Four Unverified Contracts, Chainalysis Warns of AI Tool Risk

The $26M Truebit Exploit

Truebit's contract had been sitting on Ethereum since 2021 — unverified and unreviewed. Attackers cracked it by finding an integer overflow flaw in the bonding curve. The code was written in Solidity v0.5.3, which lacks automatic overflow protections. That version is years old, but the contract was never updated or audited. Bug bounty programs often exclude unverified contracts, so that vulnerability sat untouched for years.

Truebitin 26 miljoonan dollarin hyväksikäyttö

Truebitin sopimus oli ollut Ethereumissa vuodesta 2021 lähtien – vahvistamaton ja tarkistamaton. Hyökkääjät murtautuivat siihen löytämällä kokonaisluvun ylivuotovirheen bondauskäyrästä. Koodi oli kirjoitettu Solidity v0.5.3:lla, josta puuttuu automaattinen ylivuotosuojaus. Tämä versio on vuosia vanha, mutta sopimusta ei koskaan päivitetty tai auditoitu. Virhepalkkio-ohjelmat sulkevat usein pois vahvistamattomat sopimukset, joten haavoittuvuus oli koskemattomana vuosia.

Old Solidity Code Left Unchecked

All four compromised contracts — Truebit, Trusted Volumes, Aperture Finance, and Ekubo — shared one thing: no one had ever verified their source code on Etherscan or similar tools. Without verification, the actual logic running on-chain is opaque. Attackers don't need the source; they can grab the deployed bytecode and decompile it using tools like Dedaub, Heimdall, or Panoramix. Then they apply AI systems to hunt for reentrancy, arithmetic errors, and access-control flaws. That's exactly what happened across all four incidents, which also involved input-validation errors and identity verification failures.

Vanha Solidity-koodi jätetty tarkistamatta

Kaikilla neljällä vaarannetulla sopimuksella – Truebit, Trusted Volumes, Aperture Finance ja Ekubo – oli yksi yhteinen piirre: kukaan ei ollut koskaan vahvistanut niiden lähdekoodia Etherscanissa tai vastaavissa työkaluissa. Ilman vahvistusta ketjussa toimiva todellinen logiikka on läpinäkymätöntä. Hyökkääjät eivät tarvitse lähdekoodia; he voivat napata käyttöön otetun tavukoodin ja purkaa sen työkaluilla kuten Dedaub, Heimdall tai Panoramix. Sitten he soveltavat tekoälyjärjestelmiä etsiäkseen uudelleenkäyntiä, aritmeettisia virheitä ja pääsynhallinnan puutteita. Juuri näin tapahtui kaikissa neljässä tapauksessa, joihin liittyi myös syötteen validointivirheitä ja identiteetin vahvistuksen epäonnistumisia.

Attackers Turn to AI and Bytecode Analysis

The $36.7 million figure is small relative to the broader DeFi theft landscape — Chainalysis puts total losses above $1 billion over the same period. But the method is what worries the firm. Automated analysis tools are getting cheaper and more accessible for attackers. Chainalysis warns that the unverified-contract risk could accelerate as more hackers learn to pivot from source-code audits to bytecode scanning aided by AI.

Hyökkääjät kääntyvät tekoälyn ja tavukoodianalyysin puoleen

36,7 miljoonan dollarin luku on pieni verrattuna laajempaan DeFi-varkauksien maisemaan – Chainalysis arvioi kokonaistappioiden olevan yli miljardi dollaria samalla ajanjaksolla. Mutta menetelmä huolestuttaa yritystä. Automatisoidut analyysityökalut halpenevat ja tulevat hyökkääjien ulottuville. Chainalysis varoittaa, että vahvistamattomien sopimusten riski voi kiihtyä, kun yhä useammat hakkerit oppivat siirtymään lähdekoodin auditoinneista tekoälyavusteiseen tavukoodin skannaukseen.

Chainalysis: Verification Must Be Baseline

The firm recommends that source-code verification become a baseline requirement for any contract that holds user assets. Audits and bug bounties should also cover implementation contracts behind proxy structures, not just the proxy itself. Without that, contracts like Truebit's can sit exposed for years. The question hanging over the industry now: how many more unverified contracts are out there, holding user money, waiting to be decompiled?

Chainalysis: Vahvistuksen on oltava perusvaatimus

Yritys