Biswap v3 Migrator Hack

Biswap — децентрализованная биржа в сети BNB Chain. Запуская третью версию биржи, Biswap также выпустил контракты-миграторы, чтобы помочь поставщикам ликвидности перенести средства из v2 в v3 в один шаг. Чтобы воспользоваться мигратором, пользователи выдавали ему доступ к своим LP-токенам v2, которые представляют их долю в пуле ликвидности. 30 июня 2023 года злоумышленники обнаружили, что мигратор не проверял должным образом переданные ему данные. Подсовывая ему поддельные токены, они могли использовать доступы других пользователей, чтобы выводить реальные активы, стоящие за их LP-токенами.

В результате атаки у поставщиков ликвидности в сети BNB Chain было выведено около 865 тыс. долларов. Компания по безопасности Beosin подняла тревогу, пока атака еще продолжалась, и Biswap призвал пользователей как можно скорее отозвать доступы, выданные контрактам-миграторам. Злоумышленник обменял украденные активы на BNB и часть из них отмыл через миксер Tornado Cash. Biswap заявил, что берет на себя полную ответственность за средства пользователей, и в июле 2023 года полностью компенсировал убытки пострадавшим.

Пострадавшим пользователям возместили убытки, но уязвимые контракты-миграторы по-прежнему развернуты в сети BNB Chain, поэтому оставшимися доступами все еще могут злоупотребить. Совет Biswap отозвать выданные им доступы остается в силе: если вы когда-либо пользовались мигратором Biswap v3, проверьте свой кошелек и отзовите все доступы, которые вы ему выдали. Отзыв этих доступов никак не влияет на другие ваши позиции в Biswap.

Затронутые пользователи остаются под угрозой до тех пор, пока не отзовут свои доступы, поэтому рекомендуется воспользоваться приведенной ниже проверкой эксплойтов Revoke.cash, чтобы убедиться, что вы в безопасности.