BitKeep Swap Hack

BitKeep — мультичейн-криптокошелек со встроенной функцией обмена BitKeep Swap, который с тех пор переименовали в Bitget Wallet. Чтобы обменивать токены в приложении, пользователи выдавали контрактам обмена BitKeep доступ к своим токенам, часто без каких-либо ограничений. 17 октября 2022 года злоумышленник нашел в этих контрактах в сетях BNB Chain и Polygon уязвимость, которая позволяла ему совершать обмены от имени кошельков, выдавших такой доступ. С ее помощью он выводил токены из этих кошельков без разрешения владельцев.

Примерно за три с половиной часа злоумышленник забрал токены на сумму около 1,1 млн долларов и часть вырученного провел через Tornado Cash. Затем BitKeep приостановил BitKeep Swap, чтобы остановить атаку, и пообещал покрыть все убытки пользователей. Компания открыла портал для подачи заявок, через который пострадавшим возмещали убытки в USDT по той цене, по которой хакер продал их токены, обычно в течение 24 часов после подачи заявки. BitKeep также добавил в кошелек функцию, которая проверяет рискованные доступы для обмена.

Поскольку BitKeep предложил полностью покрыть убытки, пользователи, подавшие заявку, получили компенсацию. Тем не менее доступы, выданные старым контрактам BitKeep Swap в сетях BNB Chain и Polygon, остаются активными в любом кошельке, где их так и не отозвали. В то время компания по безопасности PeckShield советовала пользователям отозвать эти доступы, и этот совет актуален до сих пор. Их отзыв стоит лишь небольшой комиссии сети и устраняет любые оставшиеся риски, связанные с этими старыми контрактами.

Затронутые пользователи остаются под угрозой до тех пор, пока не отзовут свои доступы, поэтому рекомендуется воспользоваться приведенной ниже проверкой эксплойтов Revoke.cash, чтобы убедиться, что вы в безопасности.