ParaSwap Hack

ParaSwap (теперь Velora) — это DEX-агрегатор, который ищет лучшие цены на множестве бирж. В марте 2024 года ParaSwap запустила новую версию своего роутера для обмена, Augustus V6, и пользователи выдавали ему доступ, чтобы он мог обменивать их токены. 20 марта 2024 года, менее чем через два дня после публичного запуска, команда обнаружила критическую уязвимость, которая позволяла кому угодно выводить токены из кошельков, выдавших доступ новому роутеру. ParaSwap сразу же приостановила свой API, убрала V6 со своего сайта и вернулась к предыдущей версии.

Затем ParaSwap и белые хакеры сами воспользовались уязвимостью, чтобы перевести в безопасное место около 3,4 млн долларов, находившихся под угрозой, и вернули эти средства пользователям после того, как те отозвали свои доступы. До этой спасательной операции уже было потеряно около 24 тыс. долларов. Позже некоторые пользователи пополнили кошельки, у которых еще был доступ к V6, и злоумышленники забрали около 1,1 млн долларов в ходе последующих атак. После переговоров злоумышленники вернули около 800 тыс. долларов, и 324 тыс. долларов оказались потеряны безвозвратно. В апреле 2024 года ParaSwap DAO проголосовала за финансирование возвратов из своей казны, чтобы пострадавшим пользователям возместили ущерб в полном объеме.

ParaSwap уничтожила роутер V6 в сетях Polygon, BNB Chain и Avalanche, где это было возможно, но уязвимый контракт все еще существует в других сетях, где он был развернут. Всем, кто выдавал доступ Augustus V6 в любой сети, следует отозвать его прямо сейчас. Опасность исходит от самого доступа, поэтому его отзыв устраняет риск, даже если контракт остается. Отзыв защищает то, что еще остается в вашем кошельке, но не возвращает уже украденные средства.

Затронутые пользователи остаются под угрозой до тех пор, пока не отзовут свои доступы, поэтому рекомендуется воспользоваться приведенной ниже проверкой эксплойтов Revoke.cash, чтобы убедиться, что вы в безопасности.