Unagii Hack

Unagii — это DeFi-платформа для получения доходности от команды StakeWithUs, где пользователи вносят токены в приносящие доход хранилища. У ее хранилища WETH был вспомогательный контракт WethZap, который позволял пользователям обернуть ETH в WETH или развернуть обратно и воспользоваться хранилищем одной транзакцией. В июне 2023 года выяснилось, что в этом вспомогательном контракте отсутствует проверка владельца. Любой мог с его помощью вывести средства из хранилища, принадлежащие другим пользователям, которые выдали ему доступ, и оставить ETH себе.

28 июня 2023 года автоматический торговый бот заметил уязвимость и с ее помощью забрал 30,86 ETH, или около 58 тыс. долларов, из средств хранилища, принадлежавших пользователям, которые выдали доступ вспомогательному контракту. Dezy Finance, которая создала интеграцию с Unagii, предупредила команду. Затем Unagii воспользовалась той же уязвимостью, чтобы перевести оставшиеся под угрозой средства, около 94 тыс. долларов, на подконтрольный ей кошелек, так что больше средств потеряно не было. В тот же день команда вернула спасенные средства и возместила ущерб пострадавшим пользователям.

Unagii приостановила депозиты в хранилище и заявила, что развернет новую версию вспомогательного контракта, но старый так и не исправили. Тогда Unagii сообщила, что средства в хранилище в безопасности, если нет доступа к старому вспомогательному контракту, однако у некоторых кошельков до сих пор есть неограниченные доступы к нему. Если вы когда-либо пользовались хранилищем WETH от Unagii, отзовите все доступы к этому контракту, чтобы ваши средства в хранилище нельзя было забрать.

Затронутые пользователи остаются под угрозой до тех пор, пока не отзовут свои доступы, поэтому рекомендуется воспользоваться приведенной ниже проверкой эксплойтов Revoke.cash, чтобы убедиться, что вы в безопасности.