Взломы и эксплойты, связанные с доступами

Более 4 млн долларов было украдено у пользователей Payment Processor от Limit Break — протокола для торговли NFT, который Magic Eden использовала в 2024 году. Уязвимость позволяет злоумышленникам действовать от имени любого кошелька, который выдал протоколу доступ, и забирать NFT и такие токены, как WETH. Белые хакеры перевели в безопасное место более 200 тыс. NFT, а около 0,9 млн долларов уже вернули или еще можно получить обратно, так что потери составляют около 3,4 млн долларов. Всем, кто выдавал доступ Payment Processor V2 или V3, следует его отозвать.

24 июля 2026 года у поставщиков ликвидности Lien Finance, заброшенного DeFi-протокола 2020 года в сети Ethereum, было украдено около 542 тыс. долларов в USDC. Контракты протокола по-прежнему работали и так и не были исправлены. Злоумышленник создал поддельные облигации, которые торговые пулы Lien сильно переоценили, а затем обменял их на USDC, к которым поставщики ликвидности выдали этим пулам доступ. Всем, у кого есть доступы к пулам Lien Finance, следует их отозвать.

У пользователей BarnBridge, DeFi-протокола в сети Ethereum, закрывшегося в 2023 году, было украдено около 777 тыс. долларов в USDC. 15 июля 2026 года злоумышленник дешево купил контроль над DAO заброшенного проекта и провел вредоносное предложение, передавшее ему управление контрактами SMART Yield, после чего вывел USDC из кошельков с оставшимися доступами. Всем, кто когда-либо пользовался BarnBridge, следует отозвать все выданные ему доступы.

25 мая 2026 года у пользователей Bitmor, ориентированной на биткоин DeFi-платформы в сети Base, было украдено около 7 тыс. долларов. Злоумышленники захватили кошелек администратора функции DCA в Bitmor, которая регулярно покупала биткоин для пользователей, и подменили роутер Uniswap, через который она торговала, вредоносным контрактом. Этот контракт вывел USDC, к которым был выдан доступ, у пользователей с активными DCA-планами. Всем, кто выдавал доступ DCA-контракту Bitmor, следует его отозвать.

У пользователей Ekubo, децентрализованной биржи (DEX), которая начинала в сети Starknet и затем расширилась на Ethereum и Arbitrum, было украдено почти 1,42 млн долларов. Ошибка в оптимизированных по газу роутерах обмена Ekubo позволила злоумышленникам использовать доступы к токенам всех, кто выдал доступ этим роутерам. Поставщики ликвидности и Starknet не пострадали. Роутеры невозможно исправить, поэтому всем, кто выдавал им доступ, следует его отозвать. Ekubo опубликовала разбор инцидента и план возмещения убытков пострадавшим.

14 апреля 2026 года злоумышленники захватили домен cow.fi DEX-агрегатора CoW Swap, обманув с помощью социальной инженерии его регистратора и реестр доменной зоны .fi. В течение нескольких часов посетителей перенаправляли на поддельный сайт, который с помощью вредоносных доступов и подписей вывел около 1,2 млн долларов, а также пытался похитить seed-фразы. Наш список адресов злоумышленников может быть неполным, поэтому проверьте все доступы, выданные 14 апреля 2026 года.

9 марта 2026 года у пользователей GONDI, протокола кредитования под залог NFT, были украдены NFT примерно на 230 тыс. долларов. Уязвимость в недавно обновленном контракте Purchase Bundler позволила злоумышленнику забирать NFT из кошельков, выдавших ему доступ, если только эти NFT не были заблокированы в активном займе. GONDI отключил затронутую функцию и работает над тем, чтобы полностью возместить убытки пользователям. Всем, кто выдавал доступ его контрактам Purchase Bundler, следует его отозвать.

25 января 2026 года злоумышленники украли около 3,7 млн долларов у пользователей Aperture Finance — платформы на базе ИИ для управления позициями ликвидности на децентрализованных биржах. Уязвимость в некоторых ее контрактах позволяла кому угодно использовать доступы к токенам и к позициям ликвидности Uniswap (NFT), которые пользователи выдали этим контрактам. Затронута была лишь часть платформы Aperture, поэтому всем, кто пользовался Aperture Finance, стоит проверить, не затронуты ли они, и отозвать доступы.

25 января 2026 года у пользователей SwapNet, DEX-агрегатора, встроенного в торговое приложение Matcha Meta, было украдено около 13,4 млн долларов. Уязвимость позволила злоумышленнику воспользоваться доступами, которые пользователи выдали SwapNet напрямую, отключив используемый в Matcha по умолчанию одноразовый доступ. SwapNet приостановил свои контракты, а Matcha удалила SwapNet и эту настройку. SwapNet может снова включить свои контракты, поэтому всем, кто выдавал им доступ напрямую, следует его отозвать.

Через старую версию контракта Bridge от thirdweb было украдено около 34 тыс. долларов в USDC. 10 апреля 2025 года thirdweb обнаружила и исправила уязвимость, позволявшую кому угодно пользоваться доступами к токенам, выданными мосту, но старый экземпляр того же кода продолжал работать. Этот контракт был опустошен тремя транзакциями в период с апреля по декабрь 2025 года, прежде чем thirdweb его отключила. Всем, кто выдавал доступ любому из этих двух контрактов, следует его отозвать.

Злоумышленники украли около 21 тыс. долларов в USDC у пользователей 402bridge — платежного протокола в сети Base, построенного на стандарте x402 от Coinbase. 28 октября 2025 года команда сообщила об утечке приватного ключа администратора, из-за которой злоумышленники смогли захватить контракт и выводить USDC из любого кошелька, выдавшего ему доступ. Команда почти ничего не рассказывала о случившемся, и это породило подозрения, что на самом деле это был rug pull. Всем, кто выдавал доступ 402bridge, следует его отозвать.

28 сентября 2025 года злоумышленники украли 56 тыс. долларов через dLEND, продукт кредитования dTRINITY, в сетях Fraxtal и Sonic. Уязвимость в его контрактах для обмена залога позволяла кому угодно использовать доступы, выданные кошельками этим контрактам, чтобы забирать их депозиты в dLEND. По данным dTRINITY, украденные средства принадлежали только членам команды проекта. Функцию обмена убрали с сайта, но всем, кто выдавал доступ этим контрактам, следует его отозвать.

12 сентября 2025 года у пользователей Kame Aggregator, агрегатора обмена токенов в сети Sei, было украдено более 1,3 млн долларов. Уязвимость в его роутере обмена позволила злоумышленникам тратить токены всех, кто выдал ему доступ. Основной злоумышленник вернул большую часть средств за вознаграждение в 20%, а белые хакеры спасли еще 22 тыс. долларов, так что у злоумышленников осталось около 360 тыс. долларов. Kame предложил полное возмещение убытков, а всем, кто выдавал доступ роутеру, следует его отозвать.

15 июля 2025 года у пользователей Arcadia Finance, DeFi-протокола в сети Base, было украдено около 3,6 млн долларов. Злоумышленники воспользовались уязвимостью в дополнительных сервисах автоматизации, которые ребалансируют позиции ликвидности и реинвестируют доход. Поскольку эти автоматизации могли также забирать токены, к которым пользователи выдали доступ своим собственным аккаунтам Arcadia, Arcadia посоветовала всем пользователям отозвать эти доступы к токенам и отключить все активные автоматизации.

19 июня 2025 года около 35 тыс. долларов было украдено из кошельков, у которых все еще оставались доступы к старым контрактам Bankroll Network в сетях Ethereum и BNB Chain. Математическая ошибка в том, как контракты вели учет дивидендов, позволила злоумышленнику забирать токены из любого кошелька, выдавшего им доступ. Проект был заброшен много лет назад, но его контракты по-прежнему работают, поэтому всем, кто когда-либо пользовался Bankroll Network, следует отозвать доступы.

8 января 2025 года пользователи Moby Trade, платформы для торговли опционами в сети Arbitrum, потеряли около 1,9 млн долларов. Злоумышленник украл админский ключ и заменил контракты Moby вредоносными версиями, опустошив ее пулы и забирая токены прямо из кошельков, которые выдали этим контрактам доступ. Белый хакер спас часть средств, но злоумышленник по-прежнему контролирует контракты, поэтому всем, кто выдавал доступ Moby, следует его отозвать.

У пользователей Orange Finance, DeFi-протокола с хранилищами в сети Arbitrum, было украдено более 840 тыс. долларов. Админский мультисиг-кошелек протокола был настроен так, что требовал всего одну подпись, поэтому одного утекшего ключа хватило, чтобы злоумышленник захватил контроль и заменил код хранилищ Orange. Злоумышленник опустошил хранилища, а также забрал токены из кошельков, которые выдали им доступ. Всем, кто выдавал доступ хранилищам Orange Finance, следует его отозвать.

У пользователей Fisclend, протокола кредитования в сетях ApeChain, World Chain и Sonic, который проработал всего несколько месяцев, было украдено около 600 тыс. долларов. 3 января 2025 года команда совершила rug pull: она заняла депозиты пользователей под залог собственного ничего не стоящего токена FIS. Позже команда обновила несколько контрактов рынков, которые до сих пор контролирует, до версий с бэкдором, способных опустошать кошельки через выданные доступы. Всем, кто выдавал доступ контрактам Fisclend, следует его отозвать.

В октябре 2024 года у Radiant Capital, кроссчейн-протокола кредитования, было украдено около 60 млн долларов. Хакеры, связанные с Северной Кореей, с помощью вредоносного ПО на устройствах разработчиков обманом заставили их подписать передачу контроля над пулами кредитования в сетях Arbitrum и BNB Chain. Вредоносный код злоумышленников опустошил пулы и начал забирать токены из кошельков, выдавших пулам доступ. Он до сих пор опустошает кошельки, поэтому всем, кто выдавал доступ Radiant в любой сети, следует его отозвать.

16 июля 2024 года у пользователей LI.FI, кроссчейн-моста и DEX-агрегатора, было украдено около 11,6 млн долларов. Недавно добавленная часть контракта LI.FI позволила злоумышленникам воспользоваться доступами к токенам тех кошельков, которые выдали LI.FI неограниченный доступ. В течение нескольких часов LI.FI удалила уязвимую часть во всех сетях, поэтому через эту ошибку оставшимися доступами больше нельзя воспользоваться.

У пользователей WINR Protocol (JustBet), игрового протокола в сети Arbitrum, было украдено токенов WINR примерно на 11 тыс. долларов. Его MixedSwapRouter позволял вызывающему указать, какой кошелек должен оплатить обмен, не проверяя, что вызывающий — настоящий торговый пул. Злоумышленник с помощью поддельного пула заставил роутер забирать токены из кошельков, выдавших ему доступ. Всем, кто выдавал доступ WINR MixedSwapRouter, следует его отозвать.

23 апреля 2024 года у пользователей Magpie, кроссчейн DEX-агрегатора, который теперь называется Fly, было украдено около 130 тыс. долларов. Уязвимость в его контрактах-роутерах позволила злоумышленнику замаскировать команду перевода так, чтобы она прошла проверку безопасности, и забрать токены из кошельков, выдавших доступ роутерам. Magpie отключил роутеры и возместил ущерб пострадавшим пользователям. Всем, у кого до сих пор есть доступы к этим старым роутерам, следует их отозвать.

20 апреля 2024 года у Rico Credit System, протокола стейблкоина в сети Arbitrum, и его пользователей было украдено около 45 тыс. долларов. Уязвимость в основном контракте протокола позволила злоумышленнику не только опустошить средства самого протокола, но и заставить контракт выводить токены из кошельков, выдавших ему доступ. После атаки команда отключила свой сайт. Всем, кто выдавал доступ контракту Rico, следует его отозвать.

Около 20 тыс. долларов было украдено у пользователей Merkle Trade, биржи бессрочных фьючерсов, после того как 18 апреля 2024 года она запустила в EVM-сетях новую функцию Swap & Deposit. Контракт этой функции позволял кому угодно выводить токены, к которым пользователи выдали ему доступ. Merkle Trade вернулась к своему старому контракту и пообещала полностью возместить ущерб, но новый контракт невозможно приостановить, поэтому всем, кто пользовался этой функцией, следует отозвать доступ.

20 марта 2024 года у пользователей старой версии Dolomite, DeFi-биржи и протокола кредитования, было украдено более 1,8 млн долларов. Злоумышленник воспользовался уязвимостью в выведенном из эксплуатации контракте 2019 года в сети Ethereum, чтобы опустошить кошельки, у которых все еще были выданные ему доступы. Dolomite приостановил контракт в течение часа и вернул у злоумышленника 90% средств, а оставшиеся 180 тыс. долларов покрыл из своей казны.

Около 324 тыс. долларов потеряли пользователи ParaSwap (теперь Velora) после того, как 20 марта 2024 года в ее новом контракте обмена Augustus V6 обнаружили уязвимость. Она позволяла кому угодно забирать токены из кошельков, выдавших контракту доступ. ParaSwap и белые хакеры спасли большую часть средств, находившихся под угрозой, а пострадавшим пользователям вернули деньги за счет гранта ParaSwap DAO. Уязвимый контракт до сих пор существует в нескольких сетях, поэтому всем, кто выдавал доступ Augustus V6, следует его отозвать.

Около 3,6 млн долларов было выведено из кошельков, которые выдали доступ Unizen, кроссчейн DEX-агрегатору, и злоумышленники оставили себе около 3,2 млн долларов из этой суммы. Обновление контракта 8 марта 2024 года внесло уязвимость, которая позволяла кому угодно выводить токены из этих кошельков. Примерно через одиннадцать часов Unizen откатил обновление, так что уязвимость устранена, и возместил ущерб пострадавшим пользователям с помощью беспроцентного личного займа от своего генерального директора.

Злоумышленник вывел около 6,4 млн долларов из кошельков, которые выдали доступ Seneca, протоколу стейблкоина в сетях Ethereum и Arbitrum. После того как Seneca предложила вознаграждение в 20%, злоумышленник вернул примерно 80% и оставил себе около 1,3 млн долларов. Уязвимость в контрактах Chamber протокола Seneca позволяла кому угодно тратить токены, к которым пользователи выдали им доступ. Эти контракты нельзя обновить или приостановить, поэтому любым оставшимся доступом все еще можно воспользоваться, и его следует отозвать.

У пользователей Concentric, протокола управления ликвидностью в сети Arbitrum, было украдено более 1,7 млн долларов. Злоумышленники обманом убедили члена команды установить вредоносную программу, похитили ключ от кошелька администратора протокола и с его помощью заменили код контрактов-хранилищ Concentric. Они опустошили хранилища, а затем с помощью нового кода стали забирать токены из кошельков, выдавших этим хранилищам доступ. Всем, кто выдавал доступ хранилищам Concentric, следует его отозвать.

16 января 2024 года из кошельков, которые выдали доступ к токенам Socket — технологии кроссчейн-мостов, на которой работает Bungee Exchange, — было украдено около 3,3 млн долларов. Неисправная функция, добавленная тремя днями ранее, позволила злоумышленнику опустошить эти кошельки. Socket отключил ее примерно за 15 минут, поэтому уязвимостью больше нельзя воспользоваться. Позже злоумышленник вернул 1032 ETH, оставив себе около 1 млн долларов, а остальное пострадавшим пользователям покрыл Socket.

10 января 2024 года у пользователей Liquid Crypto (LQDX), мультичейн-протокола ликвидности, было украдено около 2 тыс. долларов. Его zap-контракты позволяли кому угодно внести депозит от имени любого кошелька, который выдал им доступ, и без согласия владельца перевести токены этого кошелька в пул Liquid Crypto. Liquid Crypto развернула новые контракты, но не отключила старые zap-контракты, поэтому все доступы к ним следует отозвать.

17 декабря 2023 года у пользователей Floor Protocol, платформы для дробления NFT на доли, были украдены NFT стоимостью около 1,6 млн долларов, в основном Bored Apes и Pudgy Penguins. Уязвимость в одном из вспомогательных контрактов позволила злоумышленнику забрать NFT, к которым пользователи выдали доступ протоколу. Команда исправила контракт в течение нескольких часов, предотвратив потери, которые могли бы оказаться более чем в 10 раз больше, так что эта проблема устранена.

Через ошибку в старых контрактах P2P-платформы NFT Trader у ее пользователей были украдены NFT почти на 3 млн долларов, в основном Bored Apes и Mutant Apes. Большинство обезьян вернули после того, как Yuga Labs и Boring Security DAO договорились о вознаграждении, но злоумышленники оставили себе около 600 тыс. долларов, включая более 113 тыс. ApeCoin и некоторые NFT. Всем, кто выдавал доступ старым контрактам NFT Trader, следует его отозвать.

14 декабря 2023 года у пользователей многих криптосайтов, таких как SushiSwap и Revoke.cash, было украдено около 610 тыс. долларов, и Tether заморозила около 27 тыс. долларов из этой суммы. Злоумышленники внедрили код для опустошения кошельков в Ledger Connect Kit — библиотеку кода, которую эти сайты использовали для поддержки кошельков Ledger. Ledger пообещала возместить убытки пострадавшим пользователям. Некоторые из перечисленных адресов относятся к общей инфраструктуре дрейнеров, поэтому совпадение не всегда означает, что вы пострадали.

31 октября 2023 года из кошельков, которые выдали доступ новому контракту-роутеру Unibot, торгового бота в Telegram, было выведено токенов примерно на 640 тыс. долларов. Уязвимость позволяла кому угодно заставить роутер выводить токены из этих кошельков. Примерно через девять часов Unibot остановил торговлю через него и возместил ущерб пострадавшим пользователям из собственных средств, но роутер не исправили, а просто перестали использовать, поэтому все оставшиеся доступы следует отозвать.

24 октября 2023 года у пользователей Maestro, автоматического торгового бота в Telegram, было украдено более 500 тыс. долларов. В новой версии его контракта-роутера была уязвимость, которая позволяла кому угодно заставить его выводить токены из кошельков, выдавших ему доступ. Maestro исправил роутер в течение 30 минут, обновив его, и полностью возместил ущерб всем пострадавшим пользователям. Роутером снова можно безопасно пользоваться, поэтому отзывать доступы не обязательно.

6 октября 2023 года у пользователей Galxe, популярной платформы для построения Web3-сообществ, было украдено более 270 тыс. долларов. Злоумышленники обманом заставили регистратора доменов Galxe передать им домен, а затем перенаправили сайт Galxe на поддельную копию, которая просила посетителей выдать злоумышленникам доступ к своим токенам. Позже Galxe возместила убытки пострадавшим пользователям. Всем, кто в тот день выдавал какой-либо доступ на сайте Galxe, следует проверить и отозвать эти доступы.

8 июля 2023 года у пользователей CivTrade — платформы CivFund для лимитных ордеров на Uniswap V3 — было украдено более 270 тыс. долларов. Функции, которые должны были быть закрыты для посторонних, мог вызвать кто угодно, и это позволило злоумышленникам в тот день двумя волнами вывести из кошельков пользователей токены, к которым был выдан доступ. CivFund поставил контракты CivTrade на паузу и так и не перезапустил продукт. Всем, у кого есть доступы, выданные CivTrade, следует их отозвать.

30 июня 2023 года у поставщиков ликвидности Biswap, децентрализованной биржи в сети BNB Chain, было украдено около 865 тыс. долларов. Уязвимость в контрактах-миграторах, которые Biswap выпустил, чтобы помочь пользователям перенести ликвидность из v2 в новую v3, позволила злоумышленникам воспользоваться доступами пользователей и украсть их ликвидность. В июле 2023 года Biswap полностью компенсировал убытки пострадавшим, но всем, кто выдавал доступ миграторам, все равно следует его отозвать.

28 июня 2023 года у пользователей Unagii, DeFi-платформы для получения доходности, было украдено около 58 тыс. долларов. Вспомогательный контракт для ее хранилища WETH не проверял, кому разрешено выводить средства, поэтому любой мог обналичить доли других пользователей в хранилище. Команда воспользовалась той же уязвимостью, чтобы спасти около 94 тыс. долларов, находившихся под угрозой, и возместила ущерб пострадавшим пользователям. Контракт так и не исправили, поэтому всем, кто им пользовался, следует отозвать доступ.

У пользователей децентрализованной биржи Hashflow было украдено около 40 тыс. долларов через старые контракты, которые она уже вывела из эксплуатации и которые позволяли кому угодно переводить токены из кошельков, у которых все еще были выданные им доступы. 14 июня 2023 года белый хакер первым спас более 600 тыс. долларов, чтобы владельцы могли их вернуть, но после этого черные хакеры забрали еще часть средств. Старые контракты по-прежнему уязвимы, поэтому отзовите все выданные им доступы, прежде чем забирать спасенные средства.

У пользователей Atlantis Loans, протокола кредитования в сети BNB Chain, заброшенного командой в апреле 2023 года, было украдено более 2,5 млн долларов. В июне 2023 года злоумышленник провел через голосование вредоносное предложение, которое встроило бэкдоры в несколько контрактов протокола, а затем с их помощью вывел токены из кошельков, выдавших этим контрактам доступ. Месяц спустя такой же атаке подверглась версия протокола в сети Polygon. Всем, у кого остались выданные доступы, следует их отозвать.

В апреле 2023 года у пользователей SushiSwap было выведено более 3,3 млн долларов, из которых злоумышленник и копировавшие его боты в итоге оставили себе около 1,7 млн долларов. Уязвимость в роутере SushiSwap RouteProcessor2 позволяла кому угодно заставить его забирать токены из любого кошелька, который выдал ему доступ. Роутер был развернут в 14 сетях, и его невозможно приостановить или исправить, поэтому Sushi заменила его. Всем, у кого остался доступ к нему, следует его отозвать.

В марте 2023 года Harvest Keeper, якобы торговая платформа на базе ИИ, украла у собственных пользователей более 930 тыс. долларов. Помимо того что мошенники скрылись примерно с 710 тыс. долларов депозитов, они с помощью доступов, которые им выдали пользователи, вывели еще около 219 тыс. долларов в токенах в сетях BNB Chain, Ethereum и Polygon. Проект оказался мошенническим, поэтому всем, кто выдавал доступ указанному адресу, следует его отозвать.

У пользователей BSCex SwapX, децентрализованной биржи в сети BNB Chain, которую позже переименовали в LaunchZone, было украдено более 7,8 млн долларов. Уязвимость в четырех ее старых контрактах позволяла кому угодно тратить токены, к которым пользователи выдали им доступ. Первая кража произошла 27 февраля 2023 года, остальные контракты атаковали в следующие недели, а более мелкие кражи продолжаются уже много лет. Всем, у кого есть выданные им доступы, следует их отозвать.

18 февраля 2023 года у пользователей Revert Finance, инструмента для управления ликвидностью в Uniswap V3, было украдено около 30 тыс. долларов. Контракт V3Utils этого сервиса позволял вызывающему выбирать, какому контракту отправлять инструкции для обмена, поэтому злоумышленник смог заставить его распоряжаться доступами к токенам, которые выдали ему пользователи. Revert возместила ущерб пострадавшим пользователям, но V3Utils нельзя приостановить или исправить, и уязвимость в нем по-прежнему можно использовать, поэтому всем, кто выдавал ему доступ, следует его отозвать.

17 февраля 2023 года у пользователей Dexible, мультичейн-агрегатора DEX, было украдено более 2 млн долларов. Уязвимость в новейших контрактах позволяла злоумышленнику выбирать, куда Dexible отправит сделку, и он направлял ее на контракты токенов, забирая средства, к которым пользователи выдали доступ. Средства были выведены только в сетях Ethereum и Arbitrum, но Dexible призвал пользователей отозвать доступы во всех шести сетях, где был развернут контракт.

25 декабря 2022 года у пользователей Rubic, кроссчейн DEX-агрегатора, было украдено около 1,5 млн долларов. Rubic добавил токен USDC в свой список доверенных роутеров для обмена, что позволило злоумышленнику заставить контракты Rubic выводить USDC из кошельков, выдавших им доступ. Rubic приостановил контракты и выплатил пользователям компенсацию, но контракты так и не исправили, и снятие с паузы снова откроет уязвимость. Всем, кто выдавал доступ этим контрактам, следует его отозвать.

В ноябре 2022 года у пользователей Polynomial Protocol, платформы деривативов в сети Optimism, было украдено около 7 тыс. долларов в USDC. Вспомогательный контракт, который за один шаг обменивал и вносил токены, не проверял инструкции для обмена, поэтому злоумышленники могли использовать его, чтобы распоряжаться доступами, которые выдали ему пользователи. Polynomial убрала его со своего сайта и возместила ущерб пострадавшим пользователям, но всем, кто выдавал доступ старому контракту, все равно следует его отозвать.

9 ноября 2022 года у пользователей Brahma, DeFi-протокола хранилищ, было украдено около 90 тыс. долларов в USDC. Контракт Zapper, через который вносились средства в хранилище TopGear от Brahma, не проверял получаемые инструкции, поэтому злоумышленник мог заставить его забирать USDC из любого кошелька, выдавшего ему доступ. Всем, кто выдавал доступ контракту TopGear Zapper от Brahma, следует его отозвать.

У пользователей BitKeep Wallet, который теперь называется Bitget Wallet, было украдено около 1,1 млн долларов в сетях BNB Chain и Polygon. Уязвимость в контрактах BitKeep Swap позволила злоумышленнику воспользоваться доступами к токенам, которые пользователи выдали этим контрактам (часто неограниченными), и вывести эти токены из их кошельков. BitKeep приостановил работу сервиса обмена и возместил убытки пострадавшим пользователям. Всем, у кого все еще есть доступы к старым контрактам BitKeep Swap, следует их отозвать.

11 октября 2022 года у пользователей Rabby, мультичейн-кошелька от команды DeBank, было украдено около 200 тыс. долларов. Контракт, на котором работала новая функция Swap в Rabby, выполнял любые переданные ему инструкции, поэтому злоумышленник использовал его, чтобы забирать токены из кошельков, выдавших ему доступ. Rabby возместил ущерб пострадавшим пользователям, но контракт так и не был исправлен и существует в 19 сетях, поэтому тем, кто раньше пользовался Rabby Swap, следует отозвать доступы.

В октябре 2022 года пользователи Transit Swap, кроссчейн DEX-агрегатора в сетях Ethereum и BNB Chain, потеряли около 5 млн долларов. Уязвимость позволяла кому угодно пользоваться доступами, которые выдали ему кошельки, и злоумышленник вывел около 24 млн долларов, но большая часть затем была возвращена и выплачена пострадавшим. Контракты не исправили, а лишь отключили, и их можно снова включить, поэтому всем, кто выдавал доступ Transit Swap, следует его отозвать.

17 августа 2022 года у пользователей cBridge от Celer было украдено около 240 тыс. долларов. Хакеры перехватили интернет-маршрутизацию (BGP) для сервера, на который опирался сайт cBridge, и посетителям показывалась поддельная версия, запрашивавшая неограниченный доступ к токенам для контрактов хакеров. Собственные контракты Celer не пострадали, и Celer пообещала полностью компенсировать убытки пострадавшим пользователям. Всем, кто выдавал доступ контрактам хакеров, следует его отозвать.

9 августа 2022 года у пользователей децентрализованной биржи Curve было украдено около 610 тыс. долларов. Хакеры перехватили DNS-записи curve.fi и перенаправляли посетителей на копию сайта, которая просила выдать доступ вредоносному контракту, после чего тот выводил их токены. Собственные смарт-контракты Curve не пострадали. Всем, кто в тот день выдавал доступ какому-либо контракту через curve.fi, следует отозвать доступы, выданные контракту злоумышленника.

17 июля 2022 года у пользователей PREMINT, популярной платформы для регистрации в NFT-проектах, были украдены NFT на сумму более 400 тыс. долларов. Хакеры внедрили вредоносный код на официальный сайт платформы, и он показывал поддельный запрос на проверку кошелька, который на самом деле давал кошелькам хакеров контроль над NFT пользователей. PREMINT возместила ущерб пострадавшим пользователям, но у многих жертв до сих пор остаются действующие доступы к кошелькам злоумышленников, и им следует их отозвать.

1 июля 2022 года у пользователей Quixotic, NFT-маркетплейса в сети Optimism, были украдены токены на сумму около 150 тыс. долларов. Уязвимость в его контракте биржи позволяла злоумышленнику указать любой кошелек, выдавший контракту доступ, в качестве покупателя ничего не стоящих NFT и оплачивать их токенами этого кошелька, на которые был выдан доступ. В течение нескольких часов контракт приостановили, и его больше никогда нельзя будет включить снова, так что этот эксплойт в прошлом. Quixotic вернул средства пострадавшим пользователям.

В июне 2022 года у пользователей нескольких популярных dapp, включая Convex, Ribbon, DeFi Saver и Allbridge, было украдено более 550 тыс. долларов. Хакеры перехватили DNS-записи этих сайтов у регистратора доменов Namecheap и внедрили вредоносный код, который просил пользователей выдать неограниченный доступ контрактам злоумышленников, многие из которых находились по адресам, очень похожим на адреса настоящих контрактов протоколов. Всем, кто выдал доступ одному из этих контрактов, следует его отозвать.

У пользователей BasketDAO, DeFi-протокола, объединявшего несколько токенов в один индексный токен, было украдено около 1,2 млн долларов. В двух его контрактах были уязвимости, которые позволяли злоумышленникам забирать токены из любого кошелька, выдавшего им доступ. К тому моменту BasketDAO уже сворачивал работу после предыдущего эксплойта в октябре 2021 года, а позже его поглотил PieDAO. Кражи продолжались и в 2024 году, поэтому всем, кто выдавал доступ этим контрактам, следует его отозвать.

У пользователей Auctus, децентрализованного протокола опционов в сети Ethereum, было украдено более 750 тыс. долларов. Уязвимость в одном из его старых бета-контрактов, ACOWriter, позволяла злоумышленникам выводить токены из любого кошелька, выдавшего ему доступ. Основная кража произошла 26 марта 2022 года, за три дня до того, как Auctus раскрыл проблему и призвал пользователей отозвать доступы, а затем последовали более мелкие кражи от подражателей. Всем, кто когда-либо выдавал доступ этому контракту, следует его отозвать.

20 марта 2022 года у пользователей LI.FI, кроссчейн-моста и DEX-агрегатора, было украдено около 600 тыс. долларов. Уязвимость в новой функции обмена позволила злоумышленнику заставить контракт LI.FI выводить токены из кошельков, которые выдали ему доступ. В тот же день LI.FI исправила контракт, разрешив ему обращаться только к одобренным биржам, и возместила ущерб пострадавшим пользователям. Оставшиеся доступы к этому контракту больше нельзя использовать для атаки.

Около 3 млн долларов осталось у злоумышленников, которые воспользовались ошибкой в контрактах Multichain (ранее Anyswap), кроссчейн-роутера для обмена токенов. Всего было выведено около 5,5 млн долларов, примерно половину из которых удалось вернуть благодаря белым хакерам и переговорам о возврате. Уязвимые роутеры нельзя обновить, и они так и не были исправлены, а в 2023 году Multichain прекратила работу, поэтому кошельки с оставшимися доступами продолжают опустошать, в последний раз — в 2026 году. Всем, кто выдавал им доступ, следует его отозвать.

В декабре 2021 года у пользователей Sorbet Finance, приложения Gelato для пулов ликвидности G-UNI, было украдено около 744 тыс. долларов. Уязвимость в контракте-роутере, которому пользователи выдавали доступ через Sorbet, позволяла кому угодно воспользоваться этими доступами. Gelato спасла около 26 млн долларов, находившихся под угрозой, переведя их на эскроу-счет, но в некоторых транзакциях злоумышленники опередили ее ботов. Позже держатели GEL одобрили возмещение ущерба. Роутер невозможно исправить, поэтому оставшиеся доступы к нему следует отозвать.

2 декабря 2021 года у пользователей BadgerDAO, DeFi-платформы для получения дохода на биткоине, было украдено более 120 млн долларов. Хакеры внедрили на официальный сайт проекта вредоносный код, который обманом заставлял пользователей выдавать кошельку хакеров неограниченный доступ к своим токенам. Позже около 9 млн долларов удалось вернуть владельцам, так что потери составили около 111 млн долларов. Эти доступы остаются опасными, пока их не отзовут, поэтому всем, кто пользовался сайтом Badger в конце 2021 года, следует их отозвать.

Хакеры украли чуть более 200 тыс. долларов у пользователей dYdX через новый контракт для депозитов, который можно было обманом заставить использовать доступы к токенам, выданные ему пользователями. После того как 27 ноября 2021 года об ошибке сообщили, dYdX спасла около 2 млн долларов находившихся под угрозой средств, переведя их на эскроу-контракт, вывести средства с которого могут только их владельцы, а украденную сумму возместила сама. Всем, у кого все еще есть доступ, выданный этому контракту, следует его отозвать.

В ноябре 2021 года у DeFi-платформы bZx и ее пользователей было украдено более 55 млн долларов. Хакеры с помощью фишинга атаковали разработчика bZx и завладели ключами администратора для версий платформы в сетях BNB Chain и Polygon, а версия в сети Ethereum, которой управляли отдельно, не пострадала. Они изменили контракты, чтобы выводить средства как из протокола, так и из любого кошелька с активными доступами. bZx, позже переименованная в Ooki, утвердила план компенсации, но всем, у кого есть доступы, следует их отозвать.

У пользователей BasketDAO, DeFi-протокола для создания корзин токенов, было украдено около 343 тыс. долларов. Уязвимость в его контракте DelayedBDIBurner позволила злоумышленнику переводить токены BDI из любого кошелька, выдавшего этому контракту доступ. BasketDAO отключил свои модули отложенного выпуска и сжигания и предложил пользователям вместо них пользоваться основным контрактом BDI. Всем, у кого все еще есть доступ, выданный DelayedBDIBurner, следует его отозвать.

В июне 2021 года собственные разработчики StableMagnet, биржи стейблкоинов в сети BNB Chain, украли из нее более 27 млн долларов. Они спрятали бэкдор в неверифицированном коде, связанном с основным контрактом, что позволило им опустошить пулы ликвидности и вывести средства из кошельков, выдавших контракту доступ. Позже полиция Великобритании арестовала двух человек и изъяла около 22 млн долларов, но подтвержден возврат лишь небольшой части этой суммы. Всем, у кого есть доступы, следует их отозвать.

Через выведенный из эксплуатации контракт Polygon Bridge от Zapper было украдено около 367 тыс. долларов: этот контракт позволял кому угодно воспользоваться доступами к токенам, которые ему все еще были выданы. Zapper узнала об уязвимости 13 июня 2021 года и сама спасла средства, находившиеся под угрозой. Один бот скопировал эту спасательную операцию, но позже вернул 465 тыс. долларов, а второй бот незаметно забрал около 367 тыс. долларов за девятнадцать месяцев. Кошельки продолжали опустошать и в 2026 году, поэтому всем, кто пользовался Polygon Bridge от Zapper, следует отозвать доступы.

27 февраля 2021 года у пользователей Furucombo, приложения для объединения нескольких DeFi-действий в одну транзакцию, было украдено более 14 млн долларов. Злоумышленник обманом заставил основной контракт Furucombo выполнить свой вредоносный код, выдав его за новую версию Aave — одной из доверенных интеграций. Затем этот код забрал токены, к которым пользователи выдали доступ Furucombo. Всем, у кого есть доступы, выданные этому контракту, следует их отозвать.

В июне 2020 года у пользователей децентрализованной биржи Bancor было похищено около 135 тыс. долларов. Недавно развернутый контракт Bancor позволял кому угодно выводить токены из кошельков, выдавших ему доступ. Команда Bancor первой воспользовалась этой уязвимостью, чтобы перевести в безопасное место более 400 тыс. долларов средств, находившихся под угрозой, но автоматические боты для фронтраннинга скопировали эту спасательную операцию и забрали около 135 тыс. долларов. Всем, у кого остались доступы к этим старым контрактам, следует их отозвать.