Dolomite Hack

Dolomite — децентрализованная биржа и протокол денежного рынка. Впервые проект запустился в сети Ethereum в 2019 году, затем в 2022 году перешел в сеть Arbitrum и постепенно прекратил поддержку своих первоначальных контрактов в Ethereum. Многие ранние пользователи так и не отозвали доступы, выданные этим старым контрактам. 20 марта 2024 года злоумышленник обнаружил в одном из этих выведенных из эксплуатации контрактов уязвимость, которая позволяла ему переводить токены из любого кошелька, у которого все еще был выданный этому контракту доступ. Текущий продукт Dolomite в сети Arbitrum был полностью отдельным и не пострадал.

Злоумышленник забрал более 1,8 млн долларов из кошельков в сети Ethereum, в основном в USDC и DAI. Dolomite приостановил уязвимый контракт в течение часа и призвал пользователей отозвать выданные ему доступы. Затем команда связалась со злоумышленником через сообщения в блокчейне, достигла договоренности и к 24 марта 2024 года вернула 90% украденных средств. Невозвращенными остались около 180 тыс. долларов. Dolomite решил покрыть эти оставшиеся 10% из своей казны, так что все пострадавшие пользователи получили полную компенсацию.

Хотя контракт был приостановлен, а не исправлен, доступы, которые пользователи выдали ему много лет назад, продолжают существовать, пока их не отозвать. Если вы когда-либо пользовались первоначальной биржей Dolomite в сети Ethereum, проверьте, нет ли у вас доступов к ее старым контрактам, и отзовите их. Более новые версии Dolomite не связаны с этой проблемой, поэтому этот инцидент их не затрагивает. Этот случай показывает, почему стоит отзывать доступы к приложениям, которыми вы больше не пользуетесь, даже если само приложение уже ушло вперед.

Затронутые пользователи остаются под угрозой до тех пор, пока не отзовут свои доступы, поэтому рекомендуется воспользоваться приведенной ниже проверкой эксплойтов Revoke.cash, чтобы убедиться, что вы в безопасности.