BarnBridge Governance Attack

BarnBridge был DeFi-протоколом, пулы SMART Yield которого давали криптовалюту пользователей взаймы на других платформах кредитования и предлагали фиксированную или плавающую доходность. Проект свернул работу в 2023 году — в том же году он урегулировал обвинения Комиссии по ценным бумагам и биржам США (SEC), согласившись выплатить более 1,7 млн долларов. Его контракты остались в блокчейне, как и доступы, которые им выдали многие пользователи. Поскольку в заброшенной DAO оставалось очень мало застейканных токенов управления, злоумышленнику понадобилось всего около 600 долларов в этих токенах, чтобы провести голосование. Он подал предложение под видом обычного обновления, и никто не проголосовал против.

Когда 15 июля 2026 года предложение вступило в силу, оно передало злоумышленнику контроль над контрактами SMART Yield. Примерно за 12 минут он воспользовался этим контролем, чтобы вывести USDC прямо из кошельков, у которых остались доступы, выданные много лет назад, и забрал примерно 776 600 USDC, или около 777 тыс. долларов. Затем украденные USDC обменяли примерно на 415 ETH. Компания по безопасности Blockaid незадолго до кражи публично предупредила о рискованных предложениях и призвала пользователей отозвать доступы, но на момент атаки многие старые доступы все еще оставались активными.

Blockaid также указала на второе предложение в очереди, из-за которого под угрозой могли оказаться доступы к DAI, USDT, GUSD и RAI, выданные другим контрактам BarnBridge SMART Yield. Эти контракты тоже включены в эту запись. Если вы когда-либо пользовались BarnBridge, отзовите все доступы к его контрактам прямо сейчас, независимо от токена. Эта атака показывает, что доступы к заброшенным проектам могут стать опасными спустя годы после того, как вы перестали ими пользоваться. Отзыв доступов защищает то, что еще осталось в вашем кошельке, но не возвращает уже украденные средства.

Затронутые пользователи остаются под угрозой до тех пор, пока не отзовут свои доступы, поэтому рекомендуется воспользоваться приведенной ниже проверкой эксплойтов Revoke.cash, чтобы убедиться, что вы в безопасности.