合约没破，钱包先空了，Predict.fun 这 40 万是怎么丢的
10 月 27 日，BNB 链上的预测市场 Predict.fun 发声明说，有少量用户钱包出现未经授权的转账，总额大约 40 万 USDT，平台承诺对直接损失全额赔付。先别急着松口气，赔付目前只是一句承诺，声明里没有赔付时间表，也没有说钱已经发下去了。真正值得抠的，是这 40 万丢掉的方式。
链上调查给出的数字更具体。Bitquery 统计，10 月 22 日到 27 日之间，29 个钱包一共被转走 397708 USDT，分 33 笔。第一波在 10 月 22 日，6 个钱包丢了 125029 USDT，前面还有几笔小额试探，单笔最大 82000 USDT。第二波在 10 月 27 日凌晨 5 点之后，272679 USDT 在短时间内被转走，其中 19 个钱包在 34 分钟里就丢了大约 262000 USDT。两波加起来，和平台说的 40 万对得上。
最关键的一点藏在签名里。这 33 笔转账全部是用受影响钱包自己的主人钥匙签的，没有一笔碰过 Predict.fun 的市场合约或者交易合约。攻击者手里拿的是能直接开门的钥匙，不需要去撬平台的锁。平台初步判断，问题可能出在第三方托管的 API 文档站上，那个站点已经被下线，等待调查结束再出完整复盘。但平台自己也留了口子，文档站被攻破只是初步判断，从文档站到拿到钥匙的完整链条还没有被证实。没证实的部分，我就不替它补上了。
钱的去向也讲得通。被盗资金先从 BNB 链跨到以太坊，换成 ETH 之后大约 166.8 个 ETH 被送进了 Tornado Cash，第一波对应 51.8 个，第二波对应 115 个。有的资金离开受害钱包不到一分钟就到了以太坊，第二波主攻之后不到 11 分钟就出现了第一笔 Tornado Cash 存款。更扎心的是，平台发声明一个小时之后，又有一笔 4900 USDT 被转走，换成大约 2.08 个 ETH 送进了 Railgun。站点下线了，转账没有停，钥匙一旦落到别人手里，关掉一个网站根本拦不住下一笔。
落到自己身上，有三件事现在就能查。第一条针对用过自动化工具的人，后两条人人用得上。
第一，回想一下，你有没有为了跑自动化交易或者接某个工具，按照文档指引导出过钱包钥匙。报道提到 Predict.fun 的文档曾指引自动化交易用户导出相关钱包钥匙，这类操作一旦做过，就要默认那把钥匙已经不安全，把剩余资金立刻转到一个全新钱包，别等平台出复盘再动手。
第二，玩这类应用的钱包，最好和存大钱的主钱包分开，应用钱包里只放你能接受丢掉的金额，钥匙的权限边界就是损失的边界。
第三，平台说全额赔付，那就只认平台自己的后续公告和到账记录，私信里找上门说能帮你加速赔付、要你提供助记词或者点链接验证的，一律当成第二波收割。
我对这件事的判断很直接，合约代码有没有漏洞，和你的钱包安不安全，是两回事。审计报告能证明合约那扇门结实，证明不了你有没有把钥匙递出去过。这次丢钱的钱包，输就输在钥匙这一环上。
你有没有为了图方便，把钱包钥匙交给过某个工具或者文档流程？如果现在回头看，你会怎么处理那个钱包？
#防骗 #钱包安全 #Predict #BNBChain
—— web3韭菜小凯
本帖仅为个人观点与公开信息整理，不构成投资建议，赔付与调查进展以平台后续公告为准。
10 月 27 日，BNB 链上的预测市场 Predict.fun 发声明说，有少量用户钱包出现未经授权的转账，总额大约 40 万 USDT，平台承诺对直接损失全额赔付。先别急着松口气，赔付目前只是一句承诺，声明里没有赔付时间表，也没有说钱已经发下去了。真正值得抠的，是这 40 万丢掉的方式。
链上调查给出的数字更具体。Bitquery 统计，10 月 22 日到 27 日之间，29 个钱包一共被转走 397708 USDT，分 33 笔。第一波在 10 月 22 日，6 个钱包丢了 125029 USDT，前面还有几笔小额试探，单笔最大 82000 USDT。第二波在 10 月 27 日凌晨 5 点之后，272679 USDT 在短时间内被转走，其中 19 个钱包在 34 分钟里就丢了大约 262000 USDT。两波加起来，和平台说的 40 万对得上。
最关键的一点藏在签名里。这 33 笔转账全部是用受影响钱包自己的主人钥匙签的，没有一笔碰过 Predict.fun 的市场合约或者交易合约。攻击者手里拿的是能直接开门的钥匙，不需要去撬平台的锁。平台初步判断，问题可能出在第三方托管的 API 文档站上，那个站点已经被下线，等待调查结束再出完整复盘。但平台自己也留了口子，文档站被攻破只是初步判断，从文档站到拿到钥匙的完整链条还没有被证实。没证实的部分，我就不替它补上了。
钱的去向也讲得通。被盗资金先从 BNB 链跨到以太坊，换成 ETH 之后大约 166.8 个 ETH 被送进了 Tornado Cash，第一波对应 51.8 个，第二波对应 115 个。有的资金离开受害钱包不到一分钟就到了以太坊，第二波主攻之后不到 11 分钟就出现了第一笔 Tornado Cash 存款。更扎心的是，平台发声明一个小时之后，又有一笔 4900 USDT 被转走，换成大约 2.08 个 ETH 送进了 Railgun。站点下线了，转账没有停，钥匙一旦落到别人手里，关掉一个网站根本拦不住下一笔。
落到自己身上，有三件事现在就能查。第一条针对用过自动化工具的人，后两条人人用得上。
第一，回想一下，你有没有为了跑自动化交易或者接某个工具，按照文档指引导出过钱包钥匙。报道提到 Predict.fun 的文档曾指引自动化交易用户导出相关钱包钥匙，这类操作一旦做过，就要默认那把钥匙已经不安全，把剩余资金立刻转到一个全新钱包，别等平台出复盘再动手。
第二，玩这类应用的钱包，最好和存大钱的主钱包分开，应用钱包里只放你能接受丢掉的金额，钥匙的权限边界就是损失的边界。
第三，平台说全额赔付，那就只认平台自己的后续公告和到账记录，私信里找上门说能帮你加速赔付、要你提供助记词或者点链接验证的，一律当成第二波收割。
我对这件事的判断很直接，合约代码有没有漏洞，和你的钱包安不安全，是两回事。审计报告能证明合约那扇门结实，证明不了你有没有把钥匙递出去过。这次丢钱的钱包，输就输在钥匙这一环上。
你有没有为了图方便，把钱包钥匙交给过某个工具或者文档流程？如果现在回头看，你会怎么处理那个钱包？
#防骗 #钱包安全 #Predict #BNBChain
—— web3韭菜小凯
本帖仅为个人观点与公开信息整理，不构成投资建议，赔付与调查进展以平台后续公告为准。
