Maestro Hack

Maestro — это популярный торговый бот в Telegram, который позволяет пользователям покупать и продавать токены прямо из чата. За кулисами эти сделки проходят через контракт-роутер Maestro, которому пользователи выдают доступ к своим токенам. 13 октября 2023 года Maestro выпустил новую версию этого роутера, но в ней была уязвимость, позволявшая кому угодно заставить роутер выполнить любое действие по своему выбору. 24 октября 2023 года злоумышленник воспользовался этим, чтобы вывести токены из кошельков, выдавших доступ роутеру, и продать их за ETH.

Злоумышленник забрал несколько разных токенов, но не ETH, и продал их примерно за 280 ETH. Maestro обнаружил атаку и остановил ее в течение 30 минут, а торговля вернулась в нормальный режим в течение двух часов. Примерно за 10 часов Maestro полностью возместил ущерб всем пострадавшим кошелькам. Для большинства токенов он выкупил ровно те токены, которые были потеряны. Там, где для этого не хватало ликвидности, он выплатил их стоимость в ETH плюс бонус 20%. В целом возмещение обошлось Maestro примерно в 610 ETH.

Поскольку роутер обновляемый, Maestro смог устранить уязвимость в существующем контракте, а не заменять его новым. Maestro заявил, что роутер снова полностью безопасен и пользователям не нужно отзывать свои доступы или прекращать им пользоваться. Вы все равно можете отозвать доступы к роутеру, если больше не пользуетесь Maestro или просто хотите перестраховаться.

Затронутые пользователи остаются под угрозой до тех пор, пока не отзовут свои доступы, поэтому рекомендуется воспользоваться приведенной ниже проверкой эксплойтов Revoke.cash, чтобы убедиться, что вы в безопасности.