Инцидент затронул контракт маршрутизатора свопов на EVM‑сетях. Команда протокола рекомендовала немедленно отозвать все активные разрешения на использование токенов — пользователи, пока не сделают этого, остаются уязвимы.
Как выяснили аналитики компании Blockaid, специализирующейся на безопасности блокчейнов, злоумышленники атаковали кастомный контракт‑расширение на Эфириуме. Проблема заключалась в слабой функции, которая не могла корректно подтвердить, кто имеет право авторизовать платежи. В результате хакеры могли подставлять собственные данные и инициировать переводы со счетов пользователей, ранее предоставивших разрешения использовать свои токены. Иными словами, система доверяла внешним данным без должной проверки — это позволило злоумышленникам перемещать средства без согласия владельцев.
Один из пользователей еще несколько месяцев назад предоставил неограниченное разрешение на использование WBTC, предположили аналитики SlowMist. Хакер этим воспользовался и провел с кошелька 85 небольших транзакций, каждая из которых забирала у жертвы по 0,2 WBTC. В итоге кошелек потерял 17 WBTC.
Апрель стал самым неудачным месяцем года с точки зрения хакерских атак: за 30 дней произошло более 25 инцидентов, а потери составили свыше $630 млн. Самым крупным назван взлом моста Kelp на сумму $292 млн, из-за которого пострадала кредитная платформа Aave: злоумышленники взяли кредит под залог украденных токенов.