Orange Finance Hack

Orange Finance обслуживала в сети Arbitrum автоматические хранилища, которые управляли позициями ликвидности на таких биржах, как Uniswap, PancakeSwap и SushiSwap. Пользователи вносили токены в эти хранилища, для чего им нужно было выдать хранилищам доступ к своим токенам. 7 января 2025 года злоумышленник получил контроль над админским кошельком команды. Предполагалось, что это мультисиг-кошелек, для операций с которым нужны подписи нескольких членов команды, но он был настроен так, что принимал всего одну подпись, поэтому одного утекшего приватного ключа оказалось достаточно.

Злоумышленник сделал себя владельцем всех хранилищ, подменил их код вредоносным и вывел внесенные токены. Затем с помощью того же кода он забрал токены из кошельков, у которых еще оставались доступы к хранилищам. По данным Orange, около 784 тыс. долларов пришлось на депозиты, 47 тыс. долларов — на доступы и 12 тыс. долларов — на невостребованные награды. Orange отключила депозиты и вывод средств на своем сайте, привлекла группу безопасности SEAL 911 и предложила злоумышленнику сделку о возврате средств. Почти половина средств хранилищ находилась в протоколе Stryke, где их вовремя приостановили.

По словам Orange, основной причиной стали плохое управление ключами и отсутствие внутреннего контроля, а не ошибка в ее смарт-контрактах. Команда заявила, что опубликует потери каждого кошелька, а затем поделится подробностями о возврате средств и компенсации. Злоумышленник стал владельцем контрактов хранилищ, поэтому любой доступ, который им все еще выдан, может быть использован, чтобы забрать эти токены. Если вы когда-либо пользовались Orange Finance, отзовите свои доступы к ее хранилищам в сети Arbitrum. Отзыв защищает то, что еще остается в вашем кошельке, но не возвращает потерянные средства.

Затронутые пользователи остаются под угрозой до тех пор, пока не отзовут свои доступы, поэтому рекомендуется воспользоваться приведенной ниже проверкой эксплойтов Revoke.cash, чтобы убедиться, что вы в безопасности.