WINR Hack

WINR Protocol — это ончейн-протокол азартных игр, на котором работает казино JustBet, изначально запущенное в сети Arbitrum. Его MixedSwapRouter был контрактом для обмена токенов через пулы бирж, и кошельки выдавали ему доступ, чтобы он мог перемещать их токены во время обмена. В роутере была уязвимость: когда пул запрашивал оплату во время обмена, роутер брал адрес кошелька-плательщика из самого запроса и никогда не проверял, что запрос пришел от настоящего пула.

31 мая 2024 года злоумышленник создал поддельный пул и с его помощью отправлял роутеру запросы на оплату, указывая в качестве плательщика кошельки, выдавшие роутеру доступ. Роутер забирал токены из этих кошельков и передавал их злоумышленнику. Было украдено около 293 тыс. токенов WINR, стоивших на тот момент около 11 тыс. долларов. В тот же день компания по безопасности ChainAegis сообщила об атаке и призвала отозвать доступы к роутеру.

Потерянная сумма была небольшой, но роутер не менялся после атаки, поэтому уязвимость никуда не делась, и любым доступом, который ему все еще выдан, можно воспользоваться, чтобы забрать токены. Позже, в сентябре 2024 года, WINR запустил JustBet в собственном блокчейне WINR Chain, но роутер остался в сети Arbitrum. Если вы когда-либо выдавали доступ WINR MixedSwapRouter, отзовите его. Отзыв защищает то, что еще остается в вашем кошельке, но не возвращает потерянные токены.

Затронутые пользователи остаются под угрозой до тех пор, пока не отзовут свои доступы, поэтому рекомендуется воспользоваться приведенной ниже проверкой эксплойтов Revoke.cash, чтобы убедиться, что вы в безопасности.