Rubic Hack

Rubic es un agregador de DEX entre cadenas que encuentra rutas de intercambio en muchos exchanges y blockchains. Sus contratos pasan cada intercambio a uno de los routers de una lista de confianza, y los usuarios autorizan a estos contratos a gastar sus tokens. Rubic había añadido a esta lista de confianza el propio contrato del token USDC, porque algunos de sus proveedores lo necesitaban. El 25 de diciembre de 2022, un atacante se dio cuenta de que esto le permitía hacer pasar un intercambio falso por USDC y conseguir que Rubic transfiriera USDC desde cualquier cartera que lo hubiera autorizado.

Se robaron unos 1,5 millones de dólares en USDC a usuarios en Ethereum. El atacante cambió el USDC robado por ETH y envió la mayor parte al mezclador Tornado Cash para borrar su rastro. Rubic pausó los contratos afectados poco más de una hora después de que empezara el ataque, advirtió a los usuarios que no usaran su sitio web y pidió a todos que revocaran sus autorizaciones. Después, Rubic pidió a los usuarios afectados que contactaran con su equipo de soporte y los compensó por sus pérdidas.

Los contratos afectados no se pueden modificar, así que nunca se repararon. Siguen pausados, y USDC sigue en la lista de confianza de uno de ellos, lo que significa que el exploit volvería a funcionar si alguna vez se reactivaran. Cualquiera que haya autorizado estos contratos debería revocar esas autorizaciones, aunque los contratos estén pausados actualmente. Revocar protege lo que sigue en tu cartera, pero no recupera los fondos que ya se robaron.

Los usuarios afectados seguirán en riesgo mientras no hayan revocado sus autorizaciones, por lo que se recomienda utilizar el Comprobador de Exploits de Revoke.cash que aparece a continuación para asegurarte de que estás a salvo.