dYdX Hack

dYdX — децентрализованная криптобиржа. 24 ноября 2021 года она запустила новый контракт для депозитов, который позволял пользователям пополнять свой аккаунт dYdX самыми разными токенами, по пути конвертируя их в USDC. Чтобы им воспользоваться, пользователи выдавали контракту доступ к своим токенам. Через три дня, 27 ноября 2021 года, сотрудник одной трейдинговой компании сообщил, что контракт можно обманом заставить переводить токены из любого кошелька, выдавшего ему доступ, без разрешения владельца.

В течение нескольких часов dYdX воспользовалась той же ошибкой, чтобы спасти около 2 млн долларов находившихся под угрозой средств, переведя их на эскроу-контракт, вывести средства с которого могут только их первоначальные владельцы. Бот восстановления, запущенный dYdX, таким же образом спас еще 533 тыс. долларов. Несмотря на эти усилия, автоматическим ботам удалось украсть чуть более 200 тыс. долларов, прежде чем эти средства успели защитить. dYdX полностью возместила эти убытки из собственных средств, покрыла расходы пользователей на газ и выплатила человеку, сообщившему об ошибке, вознаграждение в размере 500 тыс. долларов.

В то время пострадавшие пользователи могли отозвать свои доступы и забрать средства из эскроу через сайт dYdX. dYdX предупредила их не отправлять токены на свой кошелек, пока они не отзовут доступ, потому что любые токены, на которые распространяется доступ, все еще могли быть украдены. Это предупреждение по-прежнему актуально: если у вас все еще есть доступ, выданный этому контракту для депозитов, отзовите его, прежде чем отправлять какие-либо токены на этот кошелек.

Затронутые пользователи остаются под угрозой до тех пор, пока не отзовут свои доступы, поэтому рекомендуется воспользоваться приведенной ниже проверкой эксплойтов Revoke.cash, чтобы убедиться, что вы в безопасности.