BadgerDAO Frontend Hack

BadgerDAO es un proyecto DeFi centrado en llevar Bitcoin al ecosistema DeFi de Ethereum, principalmente a través de bóvedas que generan rendimiento con Bitcoin envuelto (wrapped). En noviembre de 2021, unos atacantes se hicieron con el control de parte del sitio web oficial de Badger, muy probablemente a través de su cuenta de Cloudflare, y empezaron a inyectar código malicioso en él. Cuando los usuarios hacían transacciones normales en el sitio, el código colaba solicitudes de autorización adicionales que daban a la cartera de los atacantes acceso ilimitado a sus tokens. El código solo aparecía de vez en cuando y se dirigía sobre todo a las carteras más grandes, lo que ayudó a que pasara desapercibido durante semanas.

El 2 de diciembre de 2021, los atacantes usaron estas autorizaciones para robar más de 120 millones de dólares a los usuarios, lo que lo convirtió en uno de los mayores exploits DeFi de la época. La mayoría de los fondos robados eran tokens de bóvedas, que se liquidaron rápidamente y se llevaron de vuelta a la red de Bitcoin a través de un puente. Badger pausó la mayoría de sus bóvedas en cuestión de horas, lo que impidió nuevos robos de tokens de bóvedas, aunque otros tokens aprobados todavía podían ser robados. Los tokens de bóvedas robados por valor de unos 9,2 millones de dólares aún se podían recuperar y más tarde se devolvieron a las carteras de las que procedían, por lo que las pérdidas quedaron en torno a 111 millones de dólares. La DAO también puso en marcha un plan de restitución para compensar otras pérdidas con el tiempo.

Las autorizaciones maliciosas se concedieron a una cartera controlada por los atacantes, no a un contrato de Badger, así que siguen siendo peligrosas mientras existan. Si usaste el sitio web de Badger en noviembre o a principios de diciembre de 2021, revisa si tu cartera tiene autorizaciones a la dirección del atacante y revócalas. Este incidente también recuerda que incluso el sitio web oficial de un proyecto de confianza puede verse comprometido, así que comprueba siempre a qué dirección estás dando la autorización antes de confirmar una transacción.

Los usuarios afectados seguirán en riesgo mientras no hayan revocado sus autorizaciones, por lo que se recomienda utilizar el Comprobador de Exploits de Revoke.cash que aparece a continuación para asegurarte de que estás a salvo.