BSCex Hack

BSCex era un exchange descentralizado en BNB Chain que más tarde pasó a llamarse LaunchZone. Sus contratos SwapX permitían a los usuarios intercambiar tokens, lo que implicaba aprobarlos para gastar esos tokens. Cuatro versiones antiguas de estos contratos tenían un fallo grave: no comprobaban quién les pedía hacer una operación. Eso permitía a cualquiera hacer operaciones en nombre de una cartera que los hubiera aprobado, por ejemplo obligándola a cambiar sus tokens por tokens sin valor controlados por el atacante, con lo que se quedaba con su valor.

El primer robo se produjo el 27 de febrero de 2023. LaunchZone anunció el exploit al día siguiente y calculó los daños en unos 320.000 dólares, pero esa cifra se quedó muy corta. En marzo de 2023, la empresa de seguridad ScamSniffer descubrió que las cuatro versiones vulnerables del contrato estaban siendo vaciadas, una tras otra, con pérdidas muy superiores a la estimación de LaunchZone. En total, se han robado más de 7,8 millones de dólares. Muchas de las autorizaciones que se aprovecharon se habían concedido entre dos y tres años antes de los ataques.

Estos contratos antiguos siguen siendo vulnerables, y muchas carteras todavía tienen autorizaciones activas a ellos, por lo que los robos han continuado durante años después del primer ataque. Si alguna vez usaste BSCex o SwapX en BNB Chain, revisa tu cartera y revoca las autorizaciones que queden a estos contratos, aunque hayas dejado de usarlos hace mucho tiempo. Revocar protege los tokens que aún tienes en tu cartera, pero no recupera los tokens que ya se robaron.

Los usuarios afectados seguirán en riesgo mientras no hayan revocado sus autorizaciones, por lo que se recomienda utilizar el Comprobador de Exploits de Revoke.cash que aparece a continuación para asegurarte de que estás a salvo.