2022 Multichain Hack

Multichain, que originalmente se llamaba Anyswap, era un servicio popular para mover tokens entre blockchains. El 10 de enero de 2022, la empresa de seguridad Dedaub informó en privado de dos fallos graves en sus contratos. Uno de ellos hacía que sus routers no comprobaran correctamente los tokens que recibían, por lo que los atacantes podían engañarlos para que sacaran WETH y otros tokens de cualquier cartera que los hubiera autorizado. Multichain hizo público el problema el 17 de enero de 2022 e instó a los usuarios a revocar, pero el anuncio también alertó a los atacantes, que empezaron a vaciar carteras de inmediato.

En total se han vaciado unos 5,5 millones de dólares en varias redes. Hackers whitehat, entre ellos la empresa de seguridad BlockSec, compitieron contra los atacantes para poner a salvo los fondos en riesgo. Algunos atacantes también aceptaron devolver la mayor parte de su botín: uno devolvió 322 ETH, pero se quedó unos 150.000 dólares como propina. Al final se recuperó aproximadamente la mitad de los fondos vaciados, y alrededor de 3 millones de dólares quedaron en manos de los atacantes. Muchos usuarios criticaron a Multichain por su confusa comunicación mientras los ataques seguían en curso.

Multichain nunca parcheó los routers vulnerables, que no se pueden actualizar. En mayo de 2023, la policía china detuvo a su CEO, y el 14 de julio de 2023 Multichain anunció que cesaba sus operaciones. Como ya no queda nadie que mantenga estos contratos, las carteras que aún tienen autorizaciones a los routers antiguos han seguido siendo vaciadas, la última vez en 2026. Si alguna vez usaste Anyswap o Multichain en cualquier red, revoca ya tus autorizaciones a estos routers.

Los usuarios afectados seguirán en riesgo mientras no hayan revocado sus autorizaciones, por lo que se recomienda utilizar el Comprobador de Exploits de Revoke.cash que aparece a continuación para asegurarte de que estás a salvo.