Polynomial Protocol Hack

Polynomial Protocol es una plataforma de derivados en Optimism que lanzó bóvedas de opciones en 2022, en las que los usuarios depositan tokens para obtener rendimientos con la venta de opciones. Para facilitar los depósitos, Polynomial también usaba un contrato auxiliar independiente, llamado zap, que podía intercambiar los tokens de un usuario y depositarlos en una bóveda en un solo paso. Este zap aceptaba instrucciones de intercambio de cualquiera sin comprobarlas. En noviembre de 2022, un atacante aprovechó ese fallo para hacer que el zap sacara USDC de las carteras que lo habían autorizado.

Se robaron unos 7.000 dólares en USDC. Los daños fueron limitados porque el zap no formaba parte de los contratos principales de Polynomial y el sitio web de Polynomial nunca pedía autorizaciones ilimitadas, así que a la mayoría de las carteras les quedaba poco o nada autorizado. El atacante se llevó USDC de carteras que habían autorizado el zap pero que nunca llegaron a depositar. Polynomial ya había informado del fallo a los usuarios, había retirado el zap de su sitio web y había desplegado un nuevo contrato con las restricciones adecuadas.

Polynomial reembolsó a los usuarios afectados, y quienes ya tenían depósitos en sus bóvedas no se vieron afectados. Sin embargo, el antiguo contrato zap sigue en la blockchain, y las autorizaciones a él siguen siendo un riesgo para cualquier USDC que haya en esas carteras. Si alguna vez autorizaste el zap de Polynomial en Optimism, revoca esa autorización ahora. Solo lleva un momento y elimina cualquier exposición que quede a este contrato.

Los usuarios afectados seguirán en riesgo mientras no hayan revocado sus autorizaciones, por lo que se recomienda utilizar el Comprobador de Exploits de Revoke.cash que aparece a continuación para asegurarte de que estás a salvo.