Rubic Hack

Rubic — это кроссчейн DEX-агрегатор, который находит маршруты обмена на множестве бирж и блокчейнов. Его контракты передают каждый обмен одному из роутеров из списка доверенных, а пользователи выдают этим контрактам доступ к своим токенам. Rubic добавил в этот доверенный список сам контракт токена USDC, потому что он был нужен некоторым из его провайдеров. 25 декабря 2022 года злоумышленник понял, что это позволяет ему провести фиктивный обмен через USDC и заставить Rubic перевести USDC из любого кошелька, который выдал ему доступ.

У пользователей в сети Ethereum было украдено около 1,5 млн долларов в USDC. Злоумышленник обменял украденные USDC на ETH и отправил большую часть в миксер Tornado Cash, чтобы замести следы. Rubic приостановил затронутые контракты чуть больше чем через час после начала атаки, предупредил пользователей, чтобы они не пользовались его сайтом, и попросил всех отозвать доступы. Затем Rubic попросил пострадавших пользователей связаться с его службой поддержки и компенсировал им потери.

Затронутые контракты нельзя изменить, поэтому их так и не исправили. Они по-прежнему приостановлены, но у одного из них USDC до сих пор находится в списке доверенных, поэтому эксплойт снова сработает, если контракты когда-нибудь снимут с паузы. Всем, кто выдавал доступ этим контрактам, следует отозвать эти доступы, даже несмотря на то, что контракты сейчас приостановлены. Отзыв защищает то, что еще остается в вашем кошельке, но не возвращает уже украденные средства.

Затронутые пользователи остаются под угрозой до тех пор, пока не отзовут свои доступы, поэтому рекомендуется воспользоваться приведенной ниже проверкой эксплойтов Revoke.cash, чтобы убедиться, что вы в безопасности.