Auctus Hack

Auctus был децентрализованным протоколом опционов в сети Ethereum, где можно было создавать криптовалютные опционы и торговать ими. Один из его старых бета-контрактов, ACOWriter, позволял пользователям в один шаг создавать опционы и продавать их на бирже, для чего нужно было выдать ему доступ к своим токенам. Контракт позволял тому, кто его вызывал, самому выбирать, какую биржу использовать и какие инструкции отправлять, и никак не проверял ни то, ни другое. 26 марта 2022 года злоумышленники воспользовались этим, чтобы заставить контракт забирать токены, к которым был выдан доступ, прямо из кошельков пользователей.

Всего было украдено более 750 тыс. долларов, большая часть — в ходе основной кражи 26 марта, а после того как об уязвимости стало известно, последовали более мелкие кражи от подражателей. Auctus опубликовал срочное предупреждение 29 марта 2022 года, через три дня после основной кражи. Проект попросил всех, кто когда-либо выдавал доступ контракту ACOWriter, отозвать его и посоветовал не переводить токены в кошелек, пока доступ не отозван, поскольку их тоже могут украсть.

Это предупреждение до сих пор остается последней публикацией в блоге Auctus, а контракт ACOWriter по-прежнему существует в блокчейне. Это значит, что любой кошелек, у которого остался активный доступ, выданный этому контракту, находится под угрозой даже спустя годы. Если вы когда-либо пользовались Auctus, проверьте, нет ли у вас доступов, выданных ACOWriter, и отзовите их, прежде чем пополнять этот кошелек токенами, к которым выдан доступ. Отзыв защищает то, что у вас есть сейчас, но не может вернуть уже украденные токены.

Затронутые пользователи остаются под угрозой до тех пор, пока не отзовут свои доступы, поэтому рекомендуется воспользоваться приведенной ниже проверкой эксплойтов Revoke.cash, чтобы убедиться, что вы в безопасности.