Revert Finance Hack

Revert Finance предлагает аналитику и инструменты для тех, кто предоставляет ликвидность в Uniswap V3. Ее контракт V3Utils обеспечивал работу новой функции, которая позволяла пользователям обменять токены и добавить их в позицию Uniswap V3 одной транзакцией, и для этого пользователи выдавали V3Utils доступ к своим токенам. Контракт позволял вызывающему решать, какой контракт выполнит обмен, но никогда не проверял, что это настоящий роутер для обмена. 18 февраля 2023 года злоумышленник вместо роутера указал контракты токенов, например USDC, и заставил V3Utils выводить токены из кошельков, которые выдали ему доступ.

Пострадали пользователи в нескольких сетях, включая Ethereum и Polygon, а общие потери составили чуть менее 30 тыс. долларов. В течение нескольких часов Revert отключила эту функцию в своем приложении, опубликовала адреса затронутых контрактов в сетях Ethereum, Polygon, Optimism и Arbitrum и призвала пользователей отозвать доступы. Также она запустила собственного бота, чтобы спасти оставшиеся уязвимые средства раньше злоумышленников. К концу тех выходных всем пострадавшим пользователям полностью возместили ущерб, вернув им токены в каждой сети.

V3Utils намеренно развернули без владельца, и его нельзя изменить, поэтому его невозможно приостановить или исправить. Уязвимость по-прежнему актуальна, и любым оставшимся доступом все еще можно воспользоваться, чтобы забрать токены. Если вы когда-либо выдавали доступ контракту V3Utils от Revert в сетях Ethereum, Polygon, Optimism или Arbitrum, отзовите его прямо сейчас. После инцидента Revert заявила, что все ее будущие контракты будут проходить аудит у сторонних компаний перед запуском.

Затронутые пользователи остаются под угрозой до тех пор, пока не отзовут свои доступы, поэтому рекомендуется воспользоваться приведенной ниже проверкой эксплойтов Revoke.cash, чтобы убедиться, что вы в безопасности.