Unizen Hack

Unizen — это кроссчейн DEX-агрегатор, то есть сервис, который ищет лучшие торговые цены на множестве бирж. Пользователи выдавали агрегирующему контракту Unizen в сети Ethereum доступ к своим токенам, чтобы торговать. 8 марта 2024 года Unizen обновил этот контракт до новой версии, которая должна была снизить комиссии за газ. Новая версия передавала инструкции другим контрактам, не проверяя, куда они направлены, поэтому любой мог с ее помощью выводить токены из кошельков, выдавших доступ контракту. Злоумышленники быстро начали пользоваться этой уязвимостью.

Около 3,6 млн долларов было выведено, прежде чем Unizen примерно через одиннадцать часов откатил контракт к предыдущей версии. Некоторые из злоумышленников вернули около 310 тыс. долларов, так что у злоумышленников осталось около 3,2 млн долларов. Unizen предложил вознаграждение в 20% за возврат оставшихся средств и 11 марта 2024 года начал возмещать ущерб пострадавшим пользователям в USDT и USDC. Выплаты в основном финансировались за счет беспроцентного личного займа генерального директора Unizen, Sean Noga, а не из возвращенных средств.

Уязвимость была закрыта, когда Unizen откатил обновление, и с тех пор контракт несколько раз обновлялся. После инцидента он еще около двух лет использовался в обычном режиме, поэтому доступы к нему больше не несут риска, связанного с этим эксплойтом. Как и с любым контрактом, которым вы уже не пользуетесь, все же стоит отозвать ненужные вам доступы.

Затронутые пользователи остаются под угрозой до тех пор, пока не отзовут свои доступы, поэтому рекомендуется воспользоваться приведенной ниже проверкой эксплойтов Revoke.cash, чтобы убедиться, что вы в безопасности.