SushiSwap Hack

SushiSwap es un exchange descentralizado que funciona en muchas blockchains. Poco antes del ataque, Sushi introdujo un nuevo router llamado RouteProcessor2 para gestionar los intercambios desde su sitio web y lo desplegó en 14 redes. Los usuarios que hacían intercambios lo autorizaban a gastar sus tokens. El router tenía un fallo: no comprobaba que las solicitudes de pago de una operación vinieran realmente de un pool de trading, así que cualquiera podía engañarlo para que sacara tokens de las carteras que lo habían autorizado. La empresa de seguridad HYDN detectó el fallo el 8 de abril de 2023, y Sushi retiró el router de su sitio web.

Un cazador de recompensas por errores intentó rescatar los fondos en riesgo, pero unos bots automatizados copiaron el intento y repitieron el ataque, llevándose unos 1.800 WETH en cuestión de segundos el 9 de abril de 2023. Otros atacantes no tardaron en seguirles. Después, HYDN rescató más de 750.000 dólares en fondos de usuarios en varias redes. De los 1.800 WETH, más tarde se devolvieron 885 ETH, pero unos 795 ETH acabaron como comisiones para los constructores de bloques de la red y nunca se devolvieron. Sushi abrió un portal para reclamar los fondos rescatados y prometió cubrir las pérdidas que no se pudieran recuperar.

Nadie puede actualizar, pausar ni controlar RouteProcessor2, así que Sushi no pudo repararlo y lo sustituyó por un nuevo router. El router antiguo sigue existiendo en las 14 redes y sigue siendo vulnerable. Cualquiera que hiciera intercambios en SushiSwap mientras estaba activo puede seguir teniendo una autorización a él y debería revocarla ahora. Revocar protege lo que sigue en tu cartera, pero no recupera los tokens que ya se robaron.

Los usuarios afectados seguirán en riesgo mientras no hayan revocado sus autorizaciones, por lo que se recomienda utilizar el Comprobador de Exploits de Revoke.cash que aparece a continuación para asegurarte de que estás a salvo.