Merkle Trade Hack

Merkle Trade es una plataforma de trading de futuros perpetuos que funciona en la blockchain Aptos. El 18 de abril de 2024 lanzó Swap & Deposit, una función que permitía a quienes usaban redes EVM como Ethereum y Arbitrum cambiar sus tokens por una stablecoin y enviarla a su cuenta de Merkle Trade en Aptos en un solo paso. Para usarla, había que autorizar al nuevo contrato a gastar los tokens. El contrato no limitaba lo que se le podía ordenar, así que cualquiera podía usarlo para sacar tokens de las carteras que lo habían autorizado.

Los atacantes encontraron el fallo poco después del lanzamiento y se llevaron unos 20.000 dólares de usuarios en Arbitrum. El contrato estaba desplegado en la misma dirección en Ethereum, Arbitrum, Optimism, Polygon, BNB Chain y Avalanche, así que las autorizaciones en todas esas redes estaban en riesgo. Merkle Trade retiró la función de su aplicación, publicó una guía para revocar autorizaciones y añadió una ventana emergente que pedía a los usuarios afectados que revocaran. También comunicó las direcciones de los atacantes a los principales exchanges y dijo que reembolsaría por completo a los usuarios afectados con fondos del equipo.

El contrato de Swap & Deposit no se podía pausar ni actualizar, por lo que sigue siendo vulnerable. Merkle Trade volvió a usar en su aplicación su contrato anterior, que no estaba afectado. Si usaste la función Swap & Deposit en cualquier red EVM a partir del 18 de abril de 2024, revoca tus autorizaciones a este contrato en todas las redes donde la usaste. Revocar protege los tokens que siguen en tu cartera, pero no recupera los que ya se robaron.

Los usuarios afectados seguirán en riesgo mientras no hayan revocado sus autorizaciones, por lo que se recomienda utilizar el Comprobador de Exploits de Revoke.cash que aparece a continuación para asegurarte de que estás a salvo.