2022 Multichain Hack

Multichain, изначально называвшаяся Anyswap, была популярным сервисом для перевода токенов между блокчейнами. 10 января 2022 года компания по безопасности Dedaub в частном порядке сообщила о двух серьезных уязвимостях в ее контрактах. Из-за одной из них роутеры не проверяли должным образом переданные им токены, поэтому злоумышленники могли обманом заставить их забирать WETH и другие токены из любого кошелька, который выдал им доступ. 17 января 2022 года Multichain сообщила о проблеме публично и призвала пользователей отозвать доступы, но это объявление также привлекло внимание злоумышленников, которые сразу же начали опустошать кошельки.

Всего в нескольких сетях было выведено около 5,5 млн долларов. Белые хакеры, в том числе компания по безопасности BlockSec, наперегонки со злоумышленниками переводили находившиеся под угрозой средства в безопасное место. Некоторые злоумышленники также согласились вернуть большую часть добычи: один из них вернул 322 ETH, но оставил себе около 150 тыс. долларов в качестве чаевых. В итоге удалось вернуть примерно половину выведенных средств, и у злоумышленников осталось около 3 млн долларов. Многие пользователи критиковали Multichain за путаную коммуникацию во время атак.

Multichain так и не исправила уязвимые роутеры, которые невозможно обновить. В мае 2023 года ее генеральный директор был задержан китайской полицией, а 14 июля 2023 года Multichain объявила о прекращении работы. Поскольку поддерживать эти контракты больше некому, кошельки, у которых остались доступы к старым роутерам, продолжают опустошать, в последний раз — в 2026 году. Если вы когда-либо пользовались Anyswap или Multichain в любой сети, отзовите свои доступы к этим роутерам прямо сейчас.

Затронутые пользователи остаются под угрозой до тех пор, пока не отзовут свои доступы, поэтому рекомендуется воспользоваться приведенной ниже проверкой эксплойтов Revoke.cash, чтобы убедиться, что вы в безопасности.