BasketDAO Hack

BasketDAO предлагал индексные токены, такие как DeFi-индекс BDI и индекс стейблкоинов BMI, которые объединяли несколько токенов в один и приносили доход через Yearn. Проект свернул работу после эксплойта в октябре 2021 года, но его контракты продолжали работать. В конце марта 2022 года злоумышленники обнаружили, что два его вспомогательных контракта, включая один, связанный с индексом BMI, можно обманом заставить выводить токены из любого кошелька, выдавшего им доступ. BasketDAO предупредил пользователей о первом контракте 30 марта 2022 года, а о втором — на следующий день.

Из кошельков, выдавших доступ этим контрактам, было украдено около 1,2 млн долларов. BasketDAO попросил всех отозвать свои доступы, призвал пользователей не выдавать доступ никаким контрактам на своем сайте и начал отключать сайт, пока проверял остальные свои контракты. На 2022 году потери не закончились. В январе 2024 года компания по безопасности BlockSec предупредила, что через вспомогательный контракт BMI было выведено более 107 тыс. долларов, и снова призвала пользователей отозвать доступы.

В середине 2022 года BasketDAO договорился о том, что его сообщество перейдет к PieDAO, и держатели индекса BDI могли обменять его на индекс PieDAO с 29 июня по 21 июля 2022 года. Перенесено было совсем немного, и позже PieDAO назвал эту попытку неудачной. Уязвимые контракты по-прежнему находятся в блокчейне и, как показала кража в 2024 году, ими все еще можно злоупотребить. Если вы когда-либо пользовались BasketDAO, отзовите все доступы к этим контрактам, даже если у вас больше нет его токенов.

Затронутые пользователи остаются под угрозой до тех пор, пока не отзовут свои доступы, поэтому рекомендуется воспользоваться приведенной ниже проверкой эксплойтов Revoke.cash, чтобы убедиться, что вы в безопасности.