Ориентированная на держателей биткойна децентрализованная организация BadgerDAO подверглась хакерской атаке, в результате которой ее пользователи потеряли около $100 млн. Как сообщает аналитическая фирма PeckShield, 896 BTC или половина всей суммы приходится на кошелек одного пользователя.
Here is the list of funds that were so far transferred out from victims @BadgerDAO pic.twitter.com/P5pOj1YQ2l
— PeckShield Inc. (@peckshield) December 2, 2021
Разработчики BadgerDAO подтвердили, что проводят расследование инцидента:
«Badger получил сообщения о неавторизованном выводе пользовательских средств. Пока инженеры Badger расследуют произошедшее, все смарт-контракты были остановлены, чтобы предотвратить дальнейшей вывод. Расследование продолжается, и мы опубликуем дополнительную информацию, как только она появится».
Предположительно, взлому подвергся интерфейс сайта BadgerDAO, а не сам смарт-контракт. Из-за этого пользователи, думая, что они взаимодействуют с BadgerDAO, предоставили разрешения на операции со своими кошельками стороннему адресу. Атака была проведена в ночь со среды на четверг, однако сбор разрешений проходил на протяжении нескольких дней или недель до этого.
Пользователям, предоставившим разрешения адресу хакера 0x1fcdb04d0c5364fbd92c73ca8af9baa72c269107, необходимо отозвать их, поскольку криптовалюта может быть украдена даже после вывода из пулов в кошелек. Кроме того, как показал пример BadgerDAO, адрес контракта необходимо проверять, даже если доступ к нему осуществляется через официальный сайт.
«Похоже, ряд пользователей предоставил разрешения злоумышленнику, позволив ему распоряжаться внесенными в пулы активами. Как только мы заметили это, мы заморозили все пулы, чтобы ничего нельзя было вывести, и теперь пытаемся понять, откуда взялись эти разрешения, сколько человек предоставило их и что делать дальше», — сообщил один из разработчиков в Discord.