Revert Finance Hack

Revert Finance ofrece análisis y herramientas para quienes aportan liquidez en Uniswap V3. Su contrato V3Utils hacía funcionar una nueva función que permitía a los usuarios intercambiar tokens y añadirlos a una posición de Uniswap V3 en una sola transacción, y para ello los usuarios autorizaban a V3Utils a gastar sus tokens. El contrato dejaba que quien lo llamaba decidiera qué contrato realizaría el intercambio, pero nunca comprobaba que fuera un router de intercambio real. El 18 de febrero de 2023, un atacante lo dirigió en cambio a contratos de tokens como USDC, con lo que V3Utils sacó tokens de las carteras que lo habían autorizado.

Hubo usuarios afectados en redes como Ethereum y Polygon, con pérdidas totales de algo menos de 30.000 dólares. Revert desactivó la función en su aplicación en pocas horas, publicó las direcciones de los contratos afectados en Ethereum, Polygon, Optimism y Arbitrum, e instó a los usuarios a revocar sus autorizaciones. También puso en marcha su propio bot para rescatar los fondos vulnerables que quedaban antes de que los atacantes pudieran llevárselos. Al terminar ese fin de semana, todos los usuarios afectados habían recibido el reembolso completo, con los tokens devueltos en cada red.

V3Utils se desplegó deliberadamente sin propietario y no se puede modificar, por lo que no se puede pausar ni parchear. El fallo sigue siendo explotable hoy en día, y cualquier autorización que quede todavía puede usarse para llevarse tokens. Si alguna vez autorizaste el contrato V3Utils de Revert en Ethereum, Polygon, Optimism o Arbitrum, revoca esa autorización ahora. Después del incidente, Revert dijo que todos sus contratos futuros serían auditados por empresas externas antes de su lanzamiento.

Los usuarios afectados seguirán en riesgo mientras no hayan revocado sus autorizaciones, por lo que se recomienda utilizar el Comprobador de Exploits de Revoke.cash que aparece a continuación para asegurarte de que estás a salvo.