BSCex Hack

BSCex была децентрализованной биржей в сети BNB Chain, которую позже переименовали в LaunchZone. Ее контракты SwapX позволяли пользователям обменивать токены, для чего нужно было выдать им доступ к этим токенам. В четырех старых версиях этих контрактов была серьезная уязвимость: они не проверяли, кто просит их совершить сделку. Это позволяло кому угодно совершать сделки от имени кошелька, выдавшего им доступ, например заставляя его обменять свои токены на ничего не стоящие токены злоумышленника и таким образом выкачивая из него всю стоимость.

Первая кража произошла 27 февраля 2023 года. На следующий день LaunchZone объявила об эксплойте и оценила ущерб примерно в 320 тыс. долларов, но эта цифра оказалась сильно заниженной. В марте 2023 года компания по безопасности ScamSniffer обнаружила, что из всех четырех уязвимых версий контракта одна за другой выводятся средства, а убытки намного превышают оценку LaunchZone. Всего было украдено более 7,8 млн долларов. Многие из использованных доступов были выданы за два-три года до атак.

Эти старые контракты по-прежнему уязвимы, а у многих кошельков до сих пор есть выданные им активные доступы, поэтому кражи продолжаются уже много лет после первой атаки. Если вы когда-либо пользовались BSCex или SwapX в сети BNB Chain, проверьте свой кошелек и отзовите все оставшиеся доступы к этим контрактам, даже если вы давно перестали ими пользоваться. Отзыв защищает токены, которые еще остались в вашем кошельке, но не возвращает уже украденные токены.

Затронутые пользователи остаются под угрозой до тех пор, пока не отзовут свои доступы, поэтому рекомендуется воспользоваться приведенной ниже проверкой эксплойтов Revoke.cash, чтобы убедиться, что вы в безопасности.