SushiSwap Hack

SushiSwap — это децентрализованная биржа, которая работает во множестве блокчейнов. Незадолго до атаки Sushi представила новый роутер RouteProcessor2 для обработки обменов со своего сайта и развернула его в 14 сетях. Пользователи, совершавшие обмены, выдавали ему доступ к своим токенам. В роутере была уязвимость: он не проверял, что запросы на оплату сделки действительно поступают от торгового пула, поэтому любой мог обманом заставить его забирать токены из кошельков, выдавших ему доступ. 8 апреля 2023 года компания по безопасности HYDN обнаружила ошибку, и Sushi убрала роутер со своего сайта.

Один из охотников за уязвимостями попытался спасти находившиеся под угрозой средства, но автоматические боты скопировали эту попытку и повторили атаку, за считаные секунды забрав 9 апреля 2023 года около 1800 WETH. Вскоре за ними последовали и другие злоумышленники. Затем HYDN спасла более 750 тыс. долларов средств пользователей в нескольких сетях. Из 1800 WETH позже было возвращено 885 ETH, но около 795 ETH ушло в качестве комиссий сборщикам блоков сети и так и не было возвращено. Sushi открыла портал для получения спасенных средств и пообещала покрыть потери, которые не удалось вернуть.

Никто не может обновить, приостановить или контролировать RouteProcessor2, поэтому Sushi не смогла его исправить и вместо этого заменила новым роутером. Старый роутер по-прежнему существует во всех 14 сетях и остается уязвимым. У любого, кто совершал обмены на SushiSwap, пока этот роутер работал, может до сих пор оставаться доступ к нему, и его следует отозвать прямо сейчас. Отзыв защищает то, что еще остается в вашем кошельке, но не возвращает уже украденные токены.

Затронутые пользователи остаются под угрозой до тех пор, пока не отзовут свои доступы, поэтому рекомендуется воспользоваться приведенной ниже проверкой эксплойтов Revoke.cash, чтобы убедиться, что вы в безопасности.