2022 LI.FI Hack

LI.FI — это сервис, который находит лучший маршрут для перевода токенов между блокчейнами, комбинируя мосты и децентрализованные биржи. Примерно за месяц до атаки LI.FI запустила собственный смарт-контракт, который также мог обменивать токены перед их отправкой через мост. Эта функция обмена была слишком гибкой: она позволяла указать в качестве цели любой контракт, а не только биржи. 20 марта 2022 года злоумышленник воспользовался этим, чтобы заставить контракт LI.FI вывести такие токены, как USDC, USDT, DAI и AAVE, из кошельков, которые выдали ему неограниченный доступ.

Около 600 тыс. долларов было украдено одной транзакцией в сети Ethereum, и злоумышленник обменял все на ETH. Заметив атаку, LI.FI отключила все функции обмена и предупредила пользователей в Twitter. LI.FI взяла на себя полную ответственность и возместила ущерб всем пострадавшим пользователям, большинству из них — в течение 18 часов. Некоторым также предложили вместо денежного возврата превратить свои потери в раннюю инвестицию в LI.FI. Кроме того, LI.FI предложила злоумышленнику вознаграждение за возврат средств, но к моменту публикации разбора инцидента ответа так и не получила.

В тот же день LI.FI исправила контракт на месте, чтобы он разрешал обращаться только к биржам из одобренного списка, а затем снова включила обмены. Также она перестала по умолчанию запрашивать у пользователей неограниченный доступ. Тот же контракт был развернут и в нескольких других сетях, и оставшиеся доступы к нему больше нельзя использовать для атаки. Отзывать их не обязательно, но вы можете это сделать, если больше не пользуетесь LI.FI.

Затронутые пользователи остаются под угрозой до тех пор, пока не отзовут свои доступы, поэтому рекомендуется воспользоваться приведенной ниже проверкой эксплойтов Revoke.cash, чтобы убедиться, что вы в безопасности.