BasketDAO Hack

BasketDAO ofrecía tokens índice, como su índice DeFi BDI y su índice de stablecoins BMI, que agrupaban varios tokens en uno y generaban rendimiento a través de Yearn. El proyecto fue cesando su actividad tras un exploit en octubre de 2021, pero sus contratos siguieron activos. A finales de marzo de 2022, unos atacantes descubrieron que dos de sus contratos auxiliares, entre ellos uno vinculado a su índice BMI, podían ser engañados para sacar tokens de cualquier cartera que los hubiera aprobado. BasketDAO avisó a los usuarios sobre el primer contrato el 30 de marzo de 2022 y sobre el segundo un día después.

Se robaron alrededor de 1,2 millones de dólares de carteras que habían aprobado estos contratos. BasketDAO pidió a todos que revocaran sus autorizaciones, aconsejó a los usuarios no aprobar ningún contrato en su sitio web y empezó a desconectar el sitio mientras revisaba sus otros contratos. Las pérdidas no se detuvieron en 2022. En enero de 2024, la empresa de seguridad BlockSec advirtió de que se habían robado más de 107.000 dólares a través del contrato auxiliar de BMI y volvió a pedir a los usuarios que revocaran sus autorizaciones.

A mediados de 2022, BasketDAO acordó que PieDAO se hiciera cargo de su comunidad, y los titulares del índice BDI pudieron cambiarlo por un índice de PieDAO entre el 29 de junio y el 21 de julio de 2022. Se migró muy poco, y PieDAO calificó después la iniciativa de fracaso. Los contratos vulnerables siguen en la cadena y, como demuestra el robo de 2024, todavía se puede abusar de ellos. Si alguna vez usaste BasketDAO, revoca cualquier autorización a estos contratos, aunque ya no tengas sus tokens.

Los usuarios afectados seguirán en riesgo mientras no hayan revocado sus autorizaciones, por lo que se recomienda utilizar el Comprobador de Exploits de Revoke.cash que aparece a continuación para asegurarte de que estás a salvo.