Zapper Hack

Zapper — это популярное приложение-дашборд для DeFi. В 2021 году в нем была функция Polygon Bridge, которая позволяла пользователям за один шаг обменять токены и перевести их из сети Ethereum в Polygon, и для этого пользователи выдавали контракту моста доступ к своим токенам. Когда Zapper заменила его новой версией, старый контракт остался в сети Ethereum, и многие доступы к нему по-прежнему действовали. Оказалось, что старый контракт выполнял любые переданные ему инструкции, поэтому любой мог заставить его выводить токены из кошельков, выдавших ему доступ.

После того как белые хакеры сообщили об уязвимости, 13 июня 2021 года Zapper сама воспользовалась ею, чтобы перевести находившиеся под угрозой средства в безопасное место, поскольку в контракте не было нормального механизма приостановки. Через 25 секунд бот скопировал самую первую спасательную транзакцию Zapper и забрал еще 465 тыс. долларов, но его оператор вернул средства после того, как с ним связался исследователь безопасности samczsun. Zapper возместила ущерб пострадавшим пользователям, которые могли получить свои средства обратно после отзыва доступов. Однако второй бот остался незамеченным и за следующие девятнадцать месяцев забрал около 367 тыс. долларов, которые так и не были возвращены.

Zapper также включила в контракте настройку остановки, но на самом деле она не блокирует уязвимость. Кошельки, у которых еще оставались доступы к контракту, опустошались еще в 2026 году. Если вы когда-либо пользовались Polygon Bridge от Zapper, проверьте свои доступы в сети Ethereum и отзовите все оставшиеся доступы к этому контракту. Отзыв защищает токены, которые еще остаются в вашем кошельке, но не возвращает уже украденные токены.

Затронутые пользователи остаются под угрозой до тех пор, пока не отзовут свои доступы, поэтому рекомендуется воспользоваться приведенной ниже проверкой эксплойтов Revoke.cash, чтобы убедиться, что вы в безопасности.