Децентрализованная биржа CoW Swap потеряла из-за взлома $166 000

Устойчивый к MEV AMM-протокол Cow Swap признал несанкционированный вывод криптовалют на $166 000 в результате эксплойта, обнаруженного ончейн-аналитиками.

This got exploited by a hacker last night, moving a total of USD 166K from the settlement contract into their wallet: https://t.co/GydQZb8fPqSince CoW Swap is protected from solver exploits by the solver bonding pools, CoW Swap is not suffering any losses. pic.twitter.com/0XD97npfIv— CoW Swap | Better than the best prices (@CoWSwap) February 7, 2023 Целью атаки стал расчетный контракт, который собирает комиссии. Рисков для пользователей нет, как и необходимости отзывать одобрение на использование сервиса, отметили в проекте.

По данным PeckShield, ущерб составил $180 000: $123 000 в DAI, $50 000 в BNB, $7400 в ETH, которые распределили по двум кошелькам.

Десять дней назад злоумышленник внес изменения в смарт-контракт GPv2Settlement для получения разрешения SwapGuard на траты DAI. За этим последовало использование триггера. К SwapGuard может обратиться любой пользователь.

It seems (1) @CoWSwap's GPv2Settlement contract has been tricked 10 days ago to approve SwapGuard for DAI spending and (2) SwapGuard was just triggered to transfer out DAI from GPv2Settlement. Here are the two related txs: https://t.co/Tb8Sk5xqMR and https://t.co/JS7ejDhiAs https://t.co/Wpbeq4UoEP pic.twitter.com/oRWIzeOLzz— PeckShield Inc. (@peckshield) February 7, 2023 Уязвимостью решили воспользоваться «последователи».

Copycats have begun fighting over the remaining scraps: https://t.co/2wnn0YCcZX— MevRefund (@MevRefund) February 7, 2023 Вскоре разработчики сообщили об отзыве всех разрешений на подвергшийся эксплойту контракт, что предотвратило дальнейшие злонамеренные действия.

All approvals for