Dexible Hack

Dexible был DEX-агрегатором — сервисом, который ищет на нескольких биржах лучшую цену для обмена токенов, — и работал в нескольких сетях. Чтобы им пользоваться, трейдеры выдавали контрактам Dexible доступ к своим токенам. 17 февраля 2023 года злоумышленник воспользовался уязвимостью в новейшей версии этих контрактов. При обмене пользователи могли указать Dexible, через какую биржу провести сделку, но контракт никогда не проверял, что это настоящая биржа. Злоумышленник указал вместо биржи контракты токенов и приказал им передать токены, к которым пользователи выдали доступ.

Злоумышленник забрал более 2 млн долларов — примерно 1,5 млн долларов в сети Ethereum и 450 тыс. долларов в сети Arbitrum — и провел украденные средства через миксер Tornado Cash, чтобы замести следы. Dexible поставил свои контракты на паузу и призвал пользователей отозвать доступы во всех сетях, где он был развернут, хотя за пределами Ethereum и Arbitrum средства не выводились. Команду критиковали за медленную публичную реакцию: объявление появилось более чем через девять часов после атаки. Кроме того, новейшие контракты не проходили внешний аудит.

Поставить контракт на паузу — не то же самое, что исправить его, и приостановленный контракт можно снова включить. Уязвимые контракты Dexible существуют в сетях Ethereum, Arbitrum, BNB Chain, Polygon, Optimism и Avalanche. Если вы когда-либо пользовались Dexible в любой из этих сетей, проверьте свой кошелек и отзовите выданные ему доступы. Отзыв защищает токены, которые еще остались в вашем кошельке, но не возвращает уже украденные средства.

Затронутые пользователи остаются под угрозой до тех пор, пока не отзовут свои доступы, поэтому рекомендуется воспользоваться приведенной ниже проверкой эксплойтов Revoke.cash, чтобы убедиться, что вы в безопасности.