BasketDAO Peripheral Exploit

BasketDAO — DeFi-протокол, который предлагал токены-корзины, например BDI — индексный DeFi-токен, объединяющий несколько DeFi-токенов в один. Помимо основного контракта BDI, протокол использовал отдельные дополнительные контракты, позволявшие пользователям выпускать и сжигать BDI с задержкой. В октябре 2021 года команду предупредили, что в одном из этих дополнений, DelayedBDIBurner, есть серьезная уязвимость. Она позволяла кому угодно выводить токены BDI из кошельков, выдавших контракту доступ, а не только из самого контракта.

Злоумышленник воспользовался уязвимостью и забрал BDI на сумму около 343 тыс. долларов. Сначала команда считала, что под угрозой только токены, хранящиеся в самом контракте, поэтому, вернув украденные токены с помощью экстренного исправления, она отправила их обратно на кошельки, из которых они были похищены. Поскольку доступы все еще оставались активными, злоумышленник просто снова забрал токены, продал их и провел вырученные средства через Tornado Cash. Позже BasketDAO частично компенсировал убытки пострадавшим, отказавшись примерно от 118 тыс. долларов комиссий из своей казны.

В ответ BasketDAO отключил свои модули отложенного выпуска и сжигания и заявил, что отменит комиссии за выпуск и сжигание напрямую через основной контракт BDI, который не пострадал. Вскоре после этого проект начал сворачиваться, а в декабре 2021 года PieDAO предложил взять на себя его оставшиеся продукты. Команда не объявляла об исправлении самого DelayedBDIBurner, поэтому всем, у кого все еще есть выданный ему доступ, стоит отозвать его в качестве меры предосторожности. Отзыв защищает то, что еще осталось в вашем кошельке, но не возвращает потерянные токены.

Затронутые пользователи остаются под угрозой до тех пор, пока не отзовут свои доступы, поэтому рекомендуется воспользоваться приведенной ниже проверкой эксплойтов Revoke.cash, чтобы убедиться, что вы в безопасности.