Hashflow Hack

Hashflow — децентрализованная биржа для обмена токенов. Еще до этого инцидента она перешла на новые смарт-контракты и перестала использовать старые, но многие пользователи так и не отозвали доступы, выданные этим старым контрактам. 14 июня 2023 года выяснилось, что в выведенных из эксплуатации контрактах есть уязвимость, позволяющая кому угодно выводить из кошельков пользователей токены, к которым выдан доступ. Старые контракты были развернуты в сетях Ethereum, Arbitrum, Avalanche, BNB Chain и Polygon, и все эти сети были затронуты.

Белый хакер первым воспользовался уязвимостью и перевел более 600 тыс. долларов из находившихся под угрозой кошельков на контракт для возврата средств, чтобы владельцы могли их забрать. Владельцы могли забрать весь свой баланс или оставить 10% в качестве чаевых белому хакеру. Hashflow поддержала эту операцию по спасению средств, заявила, что ее текущая биржа не пострадала, и пообещала полностью возместить убытки всем пострадавшим пользователям. Тем не менее позже черные хакеры использовали ту же уязвимость, чтобы забрать около 40 тыс. долларов из кошельков, у которых все еще оставались выданные доступы.

Выведенные из эксплуатации контракты уязвимы до сих пор. Если вы когда-либо пользовались Hashflow до перехода на новые контракты, проверьте, нет ли у вас доступов к старым контрактам в каждой из перечисленных здесь сетей, и отзовите их. Если у вас еще есть спасенные средства, ожидающие получения, сначала отзовите доступы, а потом забирайте средства, чтобы возвращенные токены не могли быть украдены снова. Отзыв защищает то, что еще осталось в вашем кошельке, но не отменяет уже произошедшие кражи.

Затронутые пользователи остаются под угрозой до тех пор, пока не отзовут свои доступы, поэтому рекомендуется воспользоваться приведенной ниже проверкой эксплойтов Revoke.cash, чтобы убедиться, что вы в безопасности.