Namecheap DNS Hijack

В конце июня 2022 года злоумышленники захватили DNS-записи нескольких DeFi-сайтов, включая Convex Finance, Ribbon Finance, DeFi Saver и Allbridge. DNS-записи сообщают вашему браузеру, где найти сайт, поэтому, изменив их, злоумышленники могли направлять посетителей на вредоносную копию настоящего сайта. Все затронутые проекты зарегистрировали свои домены у Namecheap, и позже генеральный директор Namecheap заявил, что изменения внес сотрудник службы поддержки, ставший жертвой взлома или скомпрометированный иным образом.

Поддельные сайты выглядели точно так же, как настоящие, но некоторые кнопки просили пользователей выдать доступ контрактам злоумышленников вместо настоящих контрактов протокола. Многие из них были развернуты по адресам, которые начинались и заканчивались теми же символами, что и адреса настоящих контрактов, поэтому их было трудно заметить с первого взгляда. Всего было украдено более 550 тыс. долларов, в том числе около 350 тыс. долларов в WBTC у пользователей Ribbon Finance. Команды быстро восстановили контроль над своими сайтами, а Convex предложила компенсировать ущерб своим пострадавшим пользователям из казны после того, как они отзовут вредоносные доступы.

Вредоносные доступы указывают на контракты, которые контролируют злоумышленники, поэтому они остаются опасными, пока существуют, хотя затронутые сайты снова безопасны. Если вы пользовались Convex, Ribbon, DeFi Saver или Allbridge в конце июня 2022 года, проверьте свои доступы и отзовите все, которые указывают на перечисленные здесь адреса. И в целом всегда сверяйте полный адрес контракта, которому выдаете доступ, а не только несколько первых и последних символов.

Затронутые пользователи остаются под угрозой до тех пор, пока не отзовут свои доступы, поэтому рекомендуется воспользоваться приведенной ниже проверкой эксплойтов Revoke.cash, чтобы убедиться, что вы в безопасности.