Unizen Hack

Unizen es un agregador de DEX entre cadenas, un servicio que busca los mejores precios de trading en muchos exchanges. Sus usuarios autorizaban a su contrato de agregación en Ethereum a gastar sus tokens al operar. El 8 de marzo de 2024, Unizen actualizó este contrato a una nueva versión pensada para reducir las comisiones de gas. La nueva versión transmitía instrucciones a otros contratos sin comprobar a dónde iban dirigidas, así que cualquiera podía usarla para sacar tokens de las carteras que habían autorizado el contrato. Los atacantes empezaron rápidamente a aprovechar el fallo.

Se vaciaron unos 3,6 millones de dólares antes de que Unizen devolviera el contrato a su versión anterior, unas once horas después. Algunos de los atacantes devolvieron aproximadamente 310.000 dólares, así que los atacantes se quedaron con unos 3,2 millones de dólares. Unizen ofreció una recompensa del 20 % por la devolución de los fondos restantes y el 11 de marzo de 2024 empezó a reembolsar a los usuarios afectados en USDT y USDC. Los reembolsos se pagaron principalmente con un préstamo personal sin intereses del CEO de Unizen, Sean Noga, y no con fondos recuperados.

El fallo quedó cerrado cuando Unizen revirtió la actualización, y desde entonces el contrato se ha actualizado varias veces. Siguió usándose con normalidad durante unos dos años después del incidente, así que las autorizaciones a él ya no suponen un riesgo por este exploit. Como con cualquier contrato que ya no uses, sigue siendo una buena práctica revocar las autorizaciones que ya no necesitas.

Los usuarios afectados seguirán en riesgo mientras no hayan revocado sus autorizaciones, por lo que se recomienda utilizar el Comprobador de Exploits de Revoke.cash que aparece a continuación para asegurarte de que estás a salvo.