Unagii Hack

Unagii es una plataforma DeFi de rendimiento del equipo que está detrás de StakeWithUs, en la que los usuarios depositan tokens en bóvedas que generan rendimientos. Su bóveda de WETH incluía un contrato auxiliar, el WethZap, que permitía a los usuarios convertir ETH en WETH o viceversa y usar la bóveda en una sola transacción. En junio de 2023 se descubrió que a este contrato auxiliar le faltaba una comprobación de propiedad. Cualquiera podía usarlo para retirar fondos de la bóveda que pertenecían a otros usuarios que lo habían autorizado y quedarse con el ETH.

El 28 de junio de 2023, un bot de trading automatizado detectó el fallo y lo usó para hacerse con 30,86 ETH, por valor de unos 58.000 dólares, de fondos de la bóveda que pertenecían a usuarios que habían autorizado el contrato auxiliar. Dezy Finance, que había creado una integración con Unagii, alertó al equipo. Unagii usó entonces el mismo fallo para trasladar los fondos en riesgo que quedaban, unos 94.000 dólares, a una cartera que controlaba, de modo que no se perdieron más fondos. Ese mismo día, el equipo devolvió los fondos rescatados y reembolsó a los usuarios afectados.

Unagii pausó los depósitos en la bóveda y dijo que desplegaría una nueva versión del contrato auxiliar, pero el antiguo nunca se corrigió. En su momento, Unagii dijo que los fondos de la bóveda estaban seguros siempre que no hubiera ninguna autorización al antiguo contrato auxiliar, pero algunas carteras siguen teniendo autorizaciones ilimitadas a él. Si alguna vez usaste la bóveda de WETH de Unagii, revoca cualquier autorización a este contrato para asegurarte de que nadie pueda llevarse tus fondos de la bóveda.

Los usuarios afectados seguirán en riesgo mientras no hayan revocado sus autorizaciones, por lo que se recomienda utilizar el Comprobador de Exploits de Revoke.cash que aparece a continuación para asegurarte de que estás a salvo.