Sorbet Finance Hack

Sorbet Finance — приложение от Gelato Network, которое позволяло пользователям предоставлять ликвидность в пулы G-UNI на Uniswap V3. Чтобы войти в пул только с одним токеном, пользователи выдавали доступ контракту-роутеру, который обменивал часть их токенов через 1inch перед внесением. 11 декабря 2021 года исследователи Yash Shah и samczsun предупредили Gelato, что этот роутер выполняет любые переданные ему инструкции, поэтому любой может с его помощью воспользоваться доступами пользователей и вывести их токены.

В тот же вечер Gelato сама воспользовалась уязвимостью, чтобы перевести около 26 млн долларов, находившихся под угрозой, на защищенный эскроу-счет, откуда владельцы могли забрать свои средства после отзыва доступов. Затем она запустила ботов, которые спасали токены, поступающие в уязвимые кошельки, и сохранила таким образом еще около 1 млн долларов, а также предупреждала пользователей через оповещения Etherscan, ончейн-сообщения с предупреждением и даже аирдроп NFT. Тем не менее вредоносные боты в некоторых транзакциях опередили ботов Gelato и забрали около 744 тыс. долларов. В январе 2022 года держатели GEL проголосовали за финансирование возмещения потерь, произошедших до установленной Gelato крайней даты — 20 декабря 2021 года.

17 декабря 2021 года Gelato перевела Sorbet на новый контракт, прошедший аудит, а другие ее контракты и сами пулы G-UNI никогда не были затронуты. Старый роутер невозможно изменить, поэтому он по-прежнему уязвим, и любым доступом, который ему все еще выдан, можно воспользоваться, чтобы забрать токены, на которые выдан доступ. Потери после крайней даты не возмещаются. Если вы когда-либо пользовались пулами Sorbet Finance, отзовите свои доступы к старому роутеру G-UNI.

Затронутые пользователи остаются под угрозой до тех пор, пока не отзовут свои доступы, поэтому рекомендуется воспользоваться приведенной ниже проверкой эксплойтов Revoke.cash, чтобы убедиться, что вы в безопасности.