另一方面，Tronbank 开拓者在 Telegram 群中多次声称团队没有在合约中安排任何的后门，有一种自证清白的方法是：官方给出陈设时的源代码以及编译方法（包罗编译东西以及版本），理论上任何人凭据同样方法编译出来的 bytecode 和线上陈设的 TRX Pro 合约应该一致。但当我们提出该质疑时，官方回覆如下：
在理睬退款并要求承受损失的投资人发送生意业务信息之后，wojak 整整失联了高出 12 小时，这期间 wojak 账户里的钱大部门被转移到了币安生意业务所。有人开始猜疑 wojak 并没有规划退钱筹备捐钱跑路，尚有人认为这是 TronBank 项目方监守自盗，wojak 就是项目方之一。
大概性三：Tronbank 团队没有在合约中安排后门，而是后门在合约陈设进程中以某种方法发生。
5 月 3 日下午 2 点 44 分
此次 TronBank 合约被盗事件再次印证了一个简朴到怒不可遏的知识 —— 所谓智能合约的开源并不能等同于「无条件的安详」，并且粗拙的去中心化机制大概存在被操作的中心化内幕大概。在今朝这个混沌无序的市场情况中，作为一个成熟的「韭菜」，请不要再等闲相信任何口头上的去中心化理睬。
2、在 TSC 上认证过的开源代码中，假如发送金额不为零挪用 withdraw 函数，生意业务会被撤回。 作者：DR 小同伴5 月 4 日晚上 7 点
这一行代码的意思是要求该笔生意业务发送的 TRX 金额必需为零，不然无法继承执行，生意业务会被 REVERT。
另一边，在 Tronbank 的官方群里，打点员贴出的置顶动静是「TRX Pro 被黑客 THeRTTCvN4SHEVYNqcLVLNGGVsWLR4smyH 进攻，今朝开拓团队正在紧张处理惩罚，将会实时在群里更新动静」
Tronbank 项目方如约发布了抵偿方案，令大部门人受惊的是项目方没有跑路，而是理睬在 24 小时内收集信息，并在 72 小时内举办全额赔付。假如赔付照常发放，这大概是 Dapp 汗青上最大的一次项目方赔付。
从 TSC 点开源代码之后，找到 withdraw 函数，函数第一行会先挪用_withdraw() 来取得可以提取的 TRX 金额，在_withdraw() 函数的第一行我们可以看到：
北京时间 5 月 3 日破晓 4 点 12 分，一笔神奇的合约挪用转走了 TronBank 合约中的 2673 万 TRX （代价 427 万 RMB），合约余额归零。
投资者的钱怎么办？在以上错综巨大的信息之下，大部门玩家已经放弃了追查真相，而更存眷的则是找回损失。
而此次赔付通知，可以说是给投资者吃了一颗放心丸，使得大部门用户撤销了 「后门是由开拓者留下」的疑虑。但在真相暴露珠面之前，DappReview 依旧保存质疑的立场，期待项目方果真更多的观测陈诉。
留意到，该笔生意业务挪用的是合约里 withdraw 函数，发送的金额为 0.011911 TRX，要留意在 Tronbank 正常的业务逻辑下，挪用 withdraw 函数是不该该发送任何 TRX 的，金额应该为 0. 这一点在源代码中就可以验证。
1、在主网上陈设的合约，通过反编译发明，挪用 withdraw 函数时，假如发送金额便是 0.011911 TRX，则会转移全部合约余额；
社区里部门人发起 wojak 把钱还给 Tronbank 开拓者，而 wojak 认为这不是他的问题，开拓者应该本身写测试例子，做审计以及至少跑一些形式化验证（很显然他们啥都没干），他愿意把这笔钱原封不动还给 Tronbank 的每一个投资者，而不是项目方的开拓者。
这是在「欺骗 TSC」很难创立的前提下提出的大概性，TSC 最终打上验证的标签其实是中心化的行为，完全可以工钱操纵，但对付 TSC 作为一个第三方合约验证东西来说，今朝尚无竞品，做这样的工作无疑严重损伤本身的品牌，勾串同谋是在性价比太低。
结语原本看起来是一起常见的黑客进攻事件，却喜剧般演化成一场罗生门。毕竟是开拓者留后门，巧被措施员打开，照旧如项目方所说有更底层的问题存在？除了政府者自己，无人知晓。
针对之前所理睬的 24 小时内给失事件阐明陈诉，官方将再次延期，声称将接洽安详公司，TSC 以及波场官方做更多的观测。同时评论到，有许多细节仍需确认，之前从未碰着雷同环境，，这有大概是一个出色的故事。
客观来阐明存在的大概性（留意，此处仅接头大概性，即便该大概性极低，真相今朝没有任何实锤证据），有以下几种：
1、TRX Pro 在主网的合约中存在后门
5 月 4 日下午 3 点 - 4 点
反编译东西：
大概性一：Tronbank 开拓者在实际陈设的合约中混合黑货安排了后门，并乐成欺骗了 TSC 完成了另一份没有后门的代码验证。
在探讨这种大概性时，如何欺骗 TSC 成为了核心，假如然的 TSC 的验证存在 Bug，那么这意味着之前所有通过 TSC 认证并标榜开源的 Dapp 都不再可信和透明，事实上，在 Discord 群里，TSC 的开拓者 Khanh 认可代码已经好久没有维护并存在 bug 的大概性，也有其他开拓者证实本身实际陈设的代码和通过认证的代码可以不完全沟通。
整整一天之后，Tronbank 项目方再次发出通知，他们正在接洽 wojak 举办退款，假如 wojak 在 5 月 4 日晚 7 点时没有任何回覆，官方将提供应投资人的赔偿方案。
决心埋藏的后门？跟着观测的深入，那一笔触发 Bug 的生意业务被放回桌面上被仔细的分解。我们再来看一下：
而接下来产生的这一切，更让所有人始料未及
这个回覆的内容假如卖力，则该事件将越发戏剧化和巨大化，参考大概性三
按照 wojak 的说法，他写了个剧本在阐明波场虚拟机字节码，批量扫描合约并提倡生意业务看看有没有什么能赚到钱的要领，功效 偶尔之中掷中了 Tronbank 合约的 bug。一开始连他本身都不知道这笔钱是从 Tronbank 打过来的。
wojak 再次现身，说本身花 4 个多小时写了剧本从链上获取到 tronbank 的投资数据来跟收集到的损失信息比拟，个中有不少人虚报损失，甚至有完全没有参加过投资的用户也来谎报损失，仅有少数人厚道地讲述了数字。wojak 也把比对信息贴了出来 https://pastebin.com/raw/gMtxCw97。
在 withdraw 函数中，多了一个判定 else if ((0x2E87 == msg.value))，假如满意条件，那么就会把合约的余额全部转给生意业务提倡者！我们把 16 进制的数字 0x2E87 转换成 10 进制，也就是 11911，要知道 TRX 的精度为 6 位，11911 所对应的 TRX 金额就是 0.011911TRX ... 而这一部门判定在 TSC 的开源代码中是不存在的，看起来就像是是一个被藏起来没有发布的后门。
进一步深扒，从 tronscan 上找到 TRX Pro 合约的 bytecodes，用反编译东西举办处理惩罚获得：
3、TSC 把步调 2 中的 bytecodes 和步调 1 中宣布合约的 bytecodes 做匹配，匹配乐成，则认证通过，理论上多可能少一个空格都不可；另外，停止到发稿，wojak 尚未再次露面，也未将资金退还给任何投资人。
2、开拓者在 TSC 上传代码，选择编译版本，编译为 bytecodes；郑重声明：本文版权归原作者所有，转载文章仅为传播更多信息之目的，如作者信息标记有误，请第一时间联系我们修改或删除，多谢。
