BasketDAO Peripheral Exploit

BasketDAO 是一个 DeFi 协议，提供 BDI 等篮子代币。BDI 是一种 DeFi 指数代币，将多种 DeFi 代币打包成一个代币。除了 BDI 主合约外，它还运行着一些独立的附加合约，让用户可以延迟铸造和销毁 BDI。2021年10月，团队收到警告，称其中一个附加合约 DelayedBDIBurner 存在严重缺陷：任何人不仅可以从该合约本身转走 BDI 代币，还可以从授权过该合约的钱包中转走 BDI 代币。

攻击者利用这一缺陷拿走了价值约34.3万美元的 BDI。起初，团队以为只有合约中持有的代币面临风险，因此在通过紧急修复夺回被盗代币后，便把它们退回了原来的钱包。由于授权仍然有效，攻击者轻而易举地再次拿走了这些代币，将其卖出，并通过 Tornado Cash 转移了所得资金。后来，BasketDAO 放弃了其国库中约11.8万美元的手续费收入，用于部分赔偿受影响的用户。

作为应对，BasketDAO 停用了延迟铸造和销毁模块，并表示将取消直接在 BDI 主合约上铸造和销毁的手续费，该主合约并未受到影响。不久之后，该项目开始逐步关停；2021年12月，PieDAO 提议接管其剩余产品。团队没有宣布对 DelayedBDIBurner 本身进行修复，因此仍对其保有授权的用户都应出于谨慎将其撤销。撤销授权可以保护您钱包中剩余的资产，但无法追回已损失的代币。

受影响的用户只要没有撤销他们的授权，就仍处于风险之中。因此我们建议您使用下方的 Revoke.cash 漏洞检查器，以确保您的安全。