北京時間2023 年10 月31 日12: 39: 23 ，Unibot 發生漏洞惡意利用，損失了64 萬美元的資產。攻擊者利用Unibot 路由器合約中的「arbitrary call」漏洞，將價值64 萬美元的各種預先授權給路由合約的代幣轉移到自己名下。
讓我們先來了解一下這次事件的漏洞分析和攻擊過程。
漏洞分析
函數0xb2bd16ab()未正確檢查輸入參數，特別是varg 0 和varg 4 ，這兩個參數被用於任意呼叫外部代幣合約並執行transferFrom()方法。
攻擊過程
攻擊從北京時間31 日12: 39: 23 開始，持續到了31 日的14: 09: 47 。在此期間，攻擊者執行了22 次攻擊交易，呼叫了攻擊合約上的"0x5456a7bf()"方法，該方法重複呼叫Unibot 路由器合約中的"0xb2bd16ab()"方法，將各種代幣從受害者地址轉移到自己的帳戶。
總共有42 種代幣透過路由器從364 個受害者地址轉移到了攻擊者手中，漏洞利用者隨後出售了這些代幣，獲得總計355.5 ETH（約64 萬美元）。
Unibot 團隊稍後做出回應，部署了新的路由器合約。在其官方X 帳號中他們也宣布了對所有受害者的賠償計劃。目前所有355.5 ETH 已轉入Tornado.Cash。
Telegram 機器人
這次攻擊與先前的Maestrobot 事件非常相似。10 月25 日，CertiK Alert 即在X 平台發布警告稱，Telegram 機器人專案Maestro Bots 路由器合約遭受攻擊，導致損失約50 萬美元。
Telegram 機器人是Web3.0 世界中的新興領域，它讓使用者能夠透過Telegram 介面進行各種DeFi 操作，同時將代幣整合其中。然而，如何區分真正的創新和令人迷惑的假像也變得越來越複雜。
CertiK 安全團隊對CoinGecko 的Telegram 機器人代幣清單中的61 個項目進行了研究，發現近40% 的項目疑似處於休眠狀態、可能有詐騙現象，或面臨無法從大幅拋售中恢復的風險。這些平台的交易機制無疑是創新的，但許多都缺乏關鍵的技術細節，尤其是應用內錢包私鑰管理的相關資訊。我們建議用戶在這些平台上操作需格外謹慎，盡量減少與其交互，並避免長期儲存資產。
了解Telegram 機器人及其代幣
Telegram 機器人是透過Telegram 聊天程式執行的自動化程序。它們可以進行交易、向用戶提供市場數據、評估社交媒體上的情緒，並透過Telegram 介面發起的執行命令與智慧合約互動。這種類型的機器人已經存在多年，但近年來它們隨著Telegram 機器人代幣的出現而備受關注。
Telegram 機器人代幣是整合到Telegram 機器人中的原生代幣，主要用於多樣化的交易功能，例如執行DEX 交易、跨錢包管理投資組合、Yield Farming 以及其他與DeFi 相關的可行操作。這些代幣本質上允許用戶僅透過與Telegram 介面的互動就能對接整個DeFi。如果這些程式能夠長期保持安全和正常運行，可能會對DeFi 的整體可訪問性帶來重大影響。
今年7 月20 日之後，這些代幣的受歡迎程度急劇上升，一些代幣的漲幅甚至超過了1000% 。這種趨勢反映了Web3.0 社群中常見的週期性狂熱，其驅動力來自X 平台（前Twitter）上Web3.0 貨幣社群的敘事共鳴。
尤其是Unibot 嶄露頭角之後，又湧現了大量TBT。而截至2023 年8 月3 日，CoinGecko 的機器人代幣欄位已經列出了61 個此類系統。
穿越敘事的交叉路口
TBT（Telegram 機器人代幣）在Web3.0 領域佔據了獨特的地位。在X 平台（前Twitter）上，Web3.0 貨幣愛好者經常把它們當作實用代幣來討論。在此之前，「實用」一詞在Web3.0 貨幣領域一直與元敘事相關聯，通常涉及人工智能、金融科技、物流、跨境交易等專業行業的故事。 TBT 最初是伴隨著「實用」敘事而發展起來的，旨在透過創新的使用者界面來分散和完善交易活動。但是，TBT 其實已經超越了單一實用元的敘事，在各種meme 和非meme 敘事中找到了共鳴。
同時，隨著TBT 敘事的發展，圍繞著迷你游戲meme 代幣的周期性炒作出現了，尤其是一個名為「$HAMS」的計畫。 $HAMS 是一個曇花一現的meme 代幣，允許用戶在倉鼠比賽直播中下注。然而，由於社區成員指控業者重複使用倉鼠影片片段，$HAMS 在推出後不久便夭折了。這催生了其他各種遊戲紀念代幣，也稱為TBT。其中一種代幣叫做“$TETRIS”，用戶可以在其中賭博並參與玩家之間的俄羅斯方塊競賽。某些遊戲紀念代幣之間的聯繫是透過在X 平台上被廣泛提及而形成的。
TBT 敘事交叉的另一個例子涉及PAAL AI。雖然這不是專門的meme，但該專案開發了一個類似ChatGPT 的Telegram 聊天機器人。代幣和項目結構也與其他TBT 結構類似。令人費解的是，該項目似乎並沒有製作Telegram 聊天機器人，而是提供了類似ChatGPT 的網頁界面。不過，該機器人還是可以透過API 整合到用戶個人的Telegram 頻道中。
CoinGecko 的TBT 分類
Unibot 發布後不久，CoinGecko 推出了其TBT 詳細清單。該清單最初於7 月20 日左右發布，包含約30 種代幣。在短短幾週內，這一數字就激增到了61 。我們採用多種方法對這份名單進行了分析，包括價格動量、流動性動態和交易活躍度等綜合指標，並根據這些項目是否可能死亡或交易是否仍然活躍對其進行了分類。截至8 月的具體分佈如下方條形圖所示：
在這61 個項目中，我們將37 個歸類為活躍項目， 24 個歸為已死亡或可能死亡項目。這些項目要麼跌幅超過85% ，其資金池只有極少甚至沒有流動性，且沒有任何活動，要麼很可能是退出騙局。也就是說，該類別中有近40% 的項目已經死亡或不太可能恢復。
值得一提的是，註冊Telegram 機器人帳戶時提供的錢包是自動產生的，而私鑰是之後提供的。 Unibot 未說明這些私鑰的儲存方式或位置是儲存在本機還是伺服器後台。這意味著，使用這些Telegram 機器人進行交易和儲存資金都是非常危險的。
未整合Telegram 的項目
在研究過程中，我們發現一些被列為TBT 的項目要么沒有將其代幣整合到Telegram 中，要么沒有Telegram 交易機器人，而只有普通的Telegram 社區頻道。有些專案擁有與Unibot 相同功能的外部DApp，有些專案的路線圖表示Telegram 整合將在未來實現。
其他項目則不具備這些功能，但它們出現在這份名單上或許顯示了我們前面提到的交叉敘事。這些項目可能在向CoinGecko 提交申請時，自我標榜為TBT 類型的項目，並表明了整合或將在未來整合的目標。我們看到了敘事炒作如何擴大特定類別代幣的情況，有些代幣甚至以被「meme」的方式存在，即使該項目實際上與其被分配的類別毫無關係。據我們分析，這類敘事炒作的影響非常巨大，足以部分解釋以上這種分歧現象。
寫在最後
每當有新的敘事在數字貨幣社區中流行起來時，會有大量類似項目繼續以同樣的敘事進行發布，其中許多要么是退出騙局，要么企圖竊取投資者的資產，TBT 在這方面也不例外。
TBT 的開發可能是DeFi 社群的獨特創新。儘管這類代幣的效用尚不明確，但類似平台的出現，為投資者提供了將數據匯總到交易策略中的新方法。然而，用戶應該對這些平台格外謹慎。
在TBT 領域，專案都是透過meme 的方式存在，其價值可能在一夜之間消失殆盡，這要求我們保持謹慎和知情的參與態度。許多項目不能向用戶提供清晰的文檔，無法說明其錢包密鑰的存儲位置和生成方式，因此存在巨大的未知風險。
用戶應不考慮使用這些平台進行儲存。在將外部錢包連結到這些平台，或與這些項目產生的網站互動時，用戶也應謹慎行事。
