Furucombo Hack

Furucombo — приложение, которое позволяет пользователям объединять несколько DeFi-действий, например заимствование, обмен и кредитование, в одну транзакцию, словно строительные блоки. Для этого пользователи выдавали основному контракту Furucombo доступ к своим токенам, часто без каких-либо ограничений. 27 февраля 2021 года злоумышленник нашел способ заставить этот контракт поверить, что протокол кредитования Aave, одна из его доверенных интеграций, выпустил новую версию. На самом деле эта якобы новая версия была вредоносным кодом злоумышленника, который затем выполнялся со всеми разрешениями, которые пользователи выдали Furucombo.

Злоумышленник воспользовался этим, чтобы забрать более 14 млн долларов в 21 различном токене, включая stETH, USDC, USDT и DAI, и провел вырученные средства через миксер Tornado Cash. Примерно через час после начала атаки Furucombo удалил интеграцию с Aave из списка разрешенных контрактов, что заблокировало следующую попытку злоумышленника. Команда сообщила о взломе властям и позже объявила план компенсации, по которому пострадавшие пользователи получили право на 5 млн токенов COMBO проекта с постепенной выплатой в течение 360 дней.

Доступы, которые пользователи выдали основному контракту Furucombo, остаются активными, пока их не отозвать, и исследователи безопасности в то время призывали всех их отозвать. Если вы пользовались Furucombo в сети Ethereum примерно в начале 2021 года, проверьте свой кошелек и отзовите все оставшиеся доступы к этому контракту. Отзыв защищает токены, которые еще остались в вашем кошельке, но не возвращает уже украденные средства.

Затронутые пользователи остаются под угрозой до тех пор, пока не отзовут свои доступы, поэтому рекомендуется воспользоваться приведенной ниже проверкой эксплойтов Revoke.cash, чтобы убедиться, что вы в безопасности.