Polynomial Protocol Hack

Polynomial Protocol — это платформа деривативов в сети Optimism, которая в 2022 году запустила опционные хранилища, куда пользователи вносят токены, чтобы получать доход от продажи опционов. Чтобы упростить внесение средств, Polynomial также использовала отдельный вспомогательный контракт, так называемый zap, который мог обменять токены пользователя и внести их в хранилище за один шаг. Этот zap принимал инструкции для обмена от кого угодно, не проверяя их. В ноябре 2022 года злоумышленник воспользовался этой уязвимостью, чтобы заставить zap забрать USDC из кошельков, которые выдали ему доступ.

Было украдено около 7 тыс. долларов в USDC. Ущерб оказался небольшим, потому что zap не входил в число основных контрактов Polynomial, а сайт Polynomial никогда не запрашивал неограниченный доступ, поэтому у большинства кошельков оставшийся доступ был небольшим или вовсе отсутствовал. Злоумышленник забрал USDC из кошельков, которые выдали доступ zap-контракту, но так и не внесли средства. Polynomial уже сообщила пользователям об ошибке, убрала zap со своего сайта и развернула новый контракт с надлежащими ограничениями.

Polynomial возместила ущерб пострадавшим пользователям, а те, у кого уже были средства в ее хранилищах, не пострадали. Однако старый zap-контракт по-прежнему находится в блокчейне, и доступы к нему остаются угрозой для любых USDC в этих кошельках. Если вы когда-либо выдавали доступ zap-контракту Polynomial в сети Optimism, отзовите его прямо сейчас. Это займет совсем немного времени и устранит любой оставшийся риск, связанный с этим контрактом.

Затронутые пользователи остаются под угрозой до тех пор, пока не отзовут свои доступы, поэтому рекомендуется воспользоваться приведенной ниже проверкой эксплойтов Revoke.cash, чтобы убедиться, что вы в безопасности.