Merkle Trade Hack

Merkle Trade — это платформа для торговли бессрочными фьючерсами, работающая в блокчейне Aptos. 18 апреля 2024 года она запустила Swap & Deposit — функцию, которая позволяла пользователям EVM-сетей, таких как Ethereum и Arbitrum, за один шаг обменять свои токены на стейблкоин и отправить его на свой счет Merkle Trade в Aptos. Чтобы воспользоваться ею, пользователи выдавали новому контракту доступ к своим токенам. Контракт никак не ограничивал то, что ему можно было поручить, поэтому любой мог с его помощью выводить токены из кошельков, выдавших ему доступ.

Злоумышленники обнаружили уязвимость вскоре после запуска и забрали у пользователей в сети Arbitrum около 20 тыс. долларов. Контракт был развернут по одному и тому же адресу в сетях Ethereum, Arbitrum, Optimism, Polygon, BNB Chain и Avalanche, поэтому под угрозой были доступы во всех этих сетях. Merkle Trade убрала функцию из своего приложения, опубликовала руководство по отзыву доступов и добавила всплывающее окно с просьбой к пострадавшим пользователям отозвать доступ. Также она сообщила крупным биржам адреса злоумышленников и заявила, что полностью возместит ущерб пострадавшим пользователям из средств команды.

Контракт Swap & Deposit нельзя было приостановить или обновить, поэтому он по-прежнему уязвим. Merkle Trade вернула в своем приложении старый контракт, который не был затронут. Если вы пользовались функцией Swap & Deposit в любой EVM-сети начиная с 18 апреля 2024 года, отзовите свои доступы к этому контракту во всех сетях, где вы им пользовались. Отзыв защищает токены, которые еще остаются в вашем кошельке, но не возвращает уже украденные токены.

Затронутые пользователи остаются под угрозой до тех пор, пока не отзовут свои доступы, поэтому рекомендуется воспользоваться приведенной ниже проверкой эксплойтов Revoke.cash, чтобы убедиться, что вы в безопасности.