Zapper Hack

Zapper es una popular aplicación de panel DeFi. En 2021 ofrecía una función Polygon Bridge que permitía a los usuarios intercambiar tokens y moverlos de Ethereum a Polygon en un solo paso, y la gente autorizaba al contrato del puente a gastar sus tokens. Cuando Zapper lo sustituyó por una nueva versión, el contrato antiguo siguió en Ethereum con muchas autorizaciones todavía activas. Resultó que el contrato antiguo ejecutaba cualquier instrucción que se le diera, así que cualquiera podía hacer que sacara tokens de las carteras que lo habían autorizado.

Después de que unos investigadores whitehat informaran del fallo, Zapper lo usó el 13 de junio de 2021 para poner a salvo los fondos en riesgo, ya que el contrato no tenía un interruptor de pausa adecuado. Un bot copió la primera transacción de rescate de Zapper 25 segundos después y se hizo con otros 465.000 dólares, pero su operador devolvió los fondos después de que el investigador de seguridad samczsun se pusiera en contacto con él. Zapper reembolsó a los usuarios afectados, que podían reclamar sus fondos después de revocar. Sin embargo, un segundo bot pasó desapercibido y se llevó aproximadamente 367.000 dólares durante los diecinueve meses siguientes, que nunca se devolvieron.

Zapper también activó el ajuste de parada del contrato, pero ese ajuste en realidad no bloquea el fallo. Las carteras que aún tenían autorizaciones al contrato seguían siendo vaciadas incluso en 2026. Si alguna vez usaste el Polygon Bridge de Zapper, revisa tus autorizaciones en Ethereum y revoca las que queden para este contrato. Revocar protege los tokens que siguen en tu cartera, pero no recupera los que ya se robaron.

Los usuarios afectados seguirán en riesgo mientras no hayan revocado sus autorizaciones, por lo que se recomienda utilizar el Comprobador de Exploits de Revoke.cash que aparece a continuación para asegurarte de que estás a salvo.