WINR Hack

WINR Protocol es el protocolo de apuestas en blockchain que está detrás del casino JustBet, que empezó en Arbitrum. Su MixedSwapRouter era un contrato para intercambiar tokens a través de pools de exchanges, y las carteras lo autorizaban para que pudiera mover sus tokens durante un intercambio. El router tenía un fallo: cuando un pool pedía que se le pagara durante un intercambio, el router tomaba la dirección de la cartera que debía pagar de la propia solicitud y nunca comprobaba que esta viniera de un pool auténtico.

El 31 de mayo de 2024, un atacante creó un pool falso y lo usó para enviar al router solicitudes de pago que designaban como pagadoras a carteras que habían autorizado el router. El router tomó entonces tokens de esas carteras y se los entregó al atacante. Se robaron unos 293.000 tokens WINR, que entonces valían unos 11.000 dólares. La empresa de seguridad ChainAegis señaló el ataque ese mismo día e instó a la gente a revocar sus autorizaciones al router.

La cantidad perdida fue pequeña, pero el router no se ha modificado desde el ataque, así que el fallo sigue ahí y cualquier autorización que siga concedida a él puede usarse para llevarse los tokens autorizados. Más tarde, en septiembre de 2024, WINR lanzó JustBet en su propia blockchain, WINR Chain, pero el router sigue en Arbitrum. Si alguna vez autorizaste el MixedSwapRouter de WINR, revoca esa autorización. Revocar protege lo que sigue en tu cartera, pero no recupera los tokens perdidos.

Los usuarios afectados seguirán en riesgo mientras no hayan revocado sus autorizaciones, por lo que se recomienda utilizar el Comprobador de Exploits de Revoke.cash que aparece a continuación para asegurarte de que estás a salvo.