CivTrade Hack

CivTrade — торговое приложение от CivFund, которое позволяло выставлять лимитные ордера на Uniswap V3, то есть сделки, которые исполняются только тогда, когда токен достигает выбранной цены. Чтобы им пользоваться, люди выдавали контрактам CivTrade доступ к своим токенам, часто без каких-либо ограничений. 8 июля 2023 года злоумышленники обнаружили, что часть контракта, которую должен был вызывать только Uniswap, мог вызвать кто угодно. Создав поддельный пул Uniswap, они обманом заставили контракт переводить токены из кошельков, выдавших ему доступ.

Первая волна ударила по более новой версии CivTrade рано утром, а вторая в тот же день позже опустошила более старую версию. В общей сложности атаки в сети Ethereum принесли злоумышленникам токены на сумму более 270 тыс. долларов, включая стейблкоины, такие как DAI, и большую часть добычи обменяли на ETH и отправили в миксер Tornado Cash. В течение нескольких часов CivFund поставил более новый контракт на паузу, призвал пользователей отозвать доступы, а затем приостановил все контракты CivTrade. По словам CivFund, уязвимый код был скопирован из другого проекта, прошедшего аудит, и его также пропустили при собственном аудите CivFund.

CivFund заявил, что надеется компенсировать убытки пострадавшим пользователям и договориться со злоумышленниками, но неизвестно, были ли какие-либо средства возвращены или возмещены. CivTrade так и не перезапустили, а его контракты поставили на паузу, но не исправили. Если вы когда-либо выдавали доступ CivTrade в сети Ethereum или Polygon, отзовите эти доступы. Отзыв защищает токены, которые еще остались в вашем кошельке, но не возвращает уже украденные средства.

Затронутые пользователи остаются под угрозой до тех пор, пока не отзовут свои доступы, поэтому рекомендуется воспользоваться приведенной ниже проверкой эксплойтов Revoke.cash, чтобы убедиться, что вы в безопасности.