Апокалипсиса не случилось: в Zapper предотвратили критическую уязвимость

1. Zapper.fi - агрегатор фармилок, мост между сетями и гора полезных DeFi-инструментов в одном месте.
Работает с ETH, BSC, Polygon.

2. Кто угодно мог взаимодействовать с контрактом от имени owner’a
Это открыло путь для выкачивания токенов с кошельков пользователей, одобривших разрешение на их бесконечную трату.
За 7 месяцев существования уязвимости, под ударом находилось суммарно больше 100 лямов вечнозелёных

3. Для спасения средств, Zapper сами провели атаку
Вывели средства юзеров с кошельков на контракт, с которого их нельзя забрать без отзыва разрешения. Насобирали под 2.5 лямов долларов.

4. Во время перекачки около 600к баксов было присвоено сторонним ботом через front run*. Уверяют, что с владельцем бота поговорили и funds are safu.

5. Эксплойты разрешения на бесконечную трату средств - не новость.
Примеры: Bancor, Furucombo

Стоит следить за тем, каким контрактам выдается разрешение и периодически их проверять.
Проверить и отозвать разрешения: ETH, BSC, Polygon

Пост-мортем от команды

*Front run - транзакция, опережающая оригинальную. Обычно запускаемая ботом, если она выгодна.

С нуля до нуля | 0Y | Чат | Обратная связь