Furucombo Hack

Furucombo es una aplicación que permite a los usuarios combinar varias acciones DeFi, como pedir préstamos, intercambiar y prestar, en una sola transacción, como si fueran piezas de construcción. Para ello, los usuarios aprobaban el contrato principal de Furucombo para gastar sus tokens, a menudo sin ningún límite. El 27 de febrero de 2021, un atacante encontró la forma de hacer creer a ese contrato que el protocolo de préstamos Aave, una de sus integraciones de confianza, había lanzado una nueva versión. Esa supuesta nueva versión era en realidad el propio código malicioso del atacante, que se ejecutó con todos los permisos que los usuarios habían dado a Furucombo.

El atacante lo aprovechó para llevarse más de 14 millones de dólares en 21 tokens diferentes, entre ellos stETH, USDC, USDT y DAI, y pasó las ganancias por el mezclador Tornado Cash. Aproximadamente una hora después del inicio del ataque, Furucombo eliminó la integración de Aave de su lista de contratos permitidos, lo que bloqueó el siguiente intento del atacante. El equipo denunció el hackeo a las autoridades y más tarde anunció un plan de compensación que daba a los usuarios afectados derecho a reclamar 5 millones de sus tokens COMBO, pagados de forma gradual durante 360 días.

Las autorizaciones que los usuarios dieron al contrato principal de Furucombo siguen activas hasta que se revocan, y en aquel momento los investigadores de seguridad instaron a todo el mundo a revocarlas. Si usaste Furucombo en Ethereum a principios de 2021, revisa tu cartera y revoca las autorizaciones que queden a este contrato. Revocar protege los tokens que aún tienes en tu cartera, pero no recupera los fondos que ya se robaron.

Los usuarios afectados seguirán en riesgo mientras no hayan revocado sus autorizaciones, por lo que se recomienda utilizar el Comprobador de Exploits de Revoke.cash que aparece a continuación para asegurarte de que estás a salvo.