Liquid Crypto Hack

Liquid Crypto — это DeFi-протокол ликвидности, который работает в нескольких блокчейнах и имеет собственный токен LQDX, запущенный в декабре 2023 года. Его zap-контракты позволяли пользователям внести депозит в пулы Liquid Crypto за один шаг, и для этого пользователи выдавали им доступ к своим токенам. 10 января 2024 года выяснилось, что эти контракты никогда не проверяли, кто запрашивает депозит. Любой мог начать депозит от имени любого кошелька, выдавшего доступ zap-контракту, и использовать токены этого кошелька без согласия владельца.

Злоумышленник воспользовался этой уязвимостью, и у пользователей было украдено около 2 тыс. долларов. Компания по безопасности SlowMist заметила подозрительную активность, публично призвала пользователей отозвать доступы к zap-контрактам и попросила Liquid Crypto связаться с ней. Уязвимые zap-контракты были развернуты в сетях Ethereum, BNB Chain, Avalanche, Mantle и JFIN Chain. В ответ Liquid Crypto развернула для своего приложения новые zap-контракты.

Старые zap-контракты так и остались в сети и не были отключены, поэтому любым доступом к ним по-прежнему можно злоупотребить тем же способом. Если вы пользовались Liquid Crypto до января 2024 года, проверьте свои доступы во всех перечисленных здесь сетях и отзовите все доступы к старым zap-контрактам. SlowMist также отметила zap-контракт в сети ONUS Chain, который не входит в этот список, поэтому, если вы пользовались этой сетью, проверьте ее отдельно. Отзыв защищает то, что еще остается в вашем кошельке, но не возвращает потерянные средства.

Затронутые пользователи остаются под угрозой до тех пор, пока не отзовут свои доступы, поэтому рекомендуется воспользоваться приведенной ниже проверкой эксплойтов Revoke.cash, чтобы убедиться, что вы в безопасности.