Rabby Swap Hack

Rabby — это мультичейн-криптокошелек, созданный командой DeBank. 14 сентября 2022 года Rabby запустил функцию Swap, которая позволяла обменивать токены прямо внутри кошелька, а для этого нужно было выдать контракту обмена Rabby доступ к своим токенам. Примерно через месяц, 11 октября 2022 года, злоумышленник обнаружил, что этот контракт выполняет любые переданные ему инструкции, не проверяя их. С его помощью злоумышленник приказывал контрактам токенов отправлять ему токены, к которым пользователи выдали доступ Rabby Swap.

Злоумышленник забрал 114 ETH и 179 BNB, что составляло около 200 тыс. долларов, из кошельков в сетях Ethereum и BNB Chain и пропустил средства через миксер Tornado Cash. Rabby быстро предупредил, что всем, кто пользовался Swap, следует отозвать доступы во всех сетях, а кошельки, которые никогда не пользовались этой функцией, не пострадали. Контракт проходил аудит у компании по безопасности PeckShield, но уязвимость упустили. Rabby возместил ущерб пострадавшим пользователям из своего страхового фонда.

Тот же уязвимый контракт обмена был развернут в 19 сетях, и изменить его нельзя. Его так и не приостановили и не исправили, поэтому выданные ему доступы остаются опасными, пока они действуют, и любой кошелек, у которого такой доступ еще есть, остается под угрозой. Если вы пользовались Rabby Swap в 2022 году в любой сети, проверьте свой кошелек и отзовите доступы к старому контракту обмена Rabby. Отзыв защищает токены, которые еще остаются в вашем кошельке, но не возвращает уже украденные средства.

Затронутые пользователи остаются под угрозой до тех пор, пока не отзовут свои доступы, поэтому рекомендуется воспользоваться приведенной ниже проверкой эксплойтов Revoke.cash, чтобы убедиться, что вы в безопасности.