Actualizaciones de estado de exploit
Mensaje en cadena para el actor — 4 de diciembre de 2021, 21:34:01 UTC
Badgers, ha enviado un mensaje en cadena de 0xDA25ee226E534d868f0Dd8a459536b03fEE9079b a 0x1FCdb04d0C5364FBd92C73cA8AF9BAA72c269107 y 0x4fbf7701b3078B5bed6F3e64dF3AE09650eE7DE5 para encontrar una solución.
Al actor: Has tomado fondos que no le pertenecen, pero estamos dispuestos a trabajar con usted y compensarlo por identificar esta vulnerabilidad en los sistemas.
Le proporcionamos una línea de comunicación directa para discutir una resolución pacífica sin involucrar a terceros. Contáctenos para discutir más y hacer lo correcto en nombre de la comunidad.
Por correo electrónico: badgerdaohello@badger.finance o badgerdaohello@protonmail.com
En Ethereum: 0xDA25ee226E534d868f0Dd8a459536b03fEE9079b
Matriz: @badgerdao: matrix.org
xmpp: badger@yax.im
A la comunidad: absténganse de realizar acciones ofensivas y, en su lugar, comuníquese con el siguiente correo electrónico help@badger.finance. Hagamos todo lo posible para ser pacientes y brindar apoyo como comunidad. Badger seguirá haciendo todo lo que pueda.
Sea implacable. Sean Badger.
Advertencias y recomendaciones de explotación de BadgerDAO para los usuarios — 4 de diciembre de 2021, 13:21:48 UTC
Un exploit reciente llevó a algunos usuarios de BadgerDAO a aprobar un contrato malicioso que resultó en la pérdida de fondos.
Aquí hay información sobre cómo saber si sus fondos se ven afectados por el exploit.
Continuaremos publicando actualizaciones sobre este asunto aquí.
Estado actual de Badger
Cuando Badger se enteró del ataque, todos los contratos inteligentes se pausaron para minimizar el riesgo de una mayor pérdida de fondos.
Actualmente, no es posible depositar, reclamar recompensas o retirarse de la aplicación Badger (app.badger.com) ni a nivel de contrato inteligente. Badger está trabajando para garantizar que los contratos inteligentes se puedan reactivar de forma segura sin más riesgo para los fondos.
Los fondos que no están sujetos al exploit permanecen depositados y continúan obteniendo recompensas. Las recompensas de usuario no reclamadas que se acumularon antes del ataque se pueden ver pero no se pueden reclamar en app.badger.com. Los contratos inteligentes que cosechan las recompensas y las aplican a los saldos de los usuarios todavía están en pausa. Esto significa que las recompensas se acumulan actualmente, pero aún no se aplican a los saldos de usuarios individuales. Las reclamaciones de recompensas estarán disponibles cuando se reactiven los contratos inteligentes.
Los saldos de usuario en las bóvedas de Sett en app.badger.com se muestran con precisión. Si sus depósitos se apostaron en Sett Vaults más antiguos (géiseres como Uniswap WBTC-Badger LP), visite legacy.badger.finance para ver su saldo.
Cómo saber si se vio afectado y qué hacer
Compruebe Etherscan en busca de transacciones no autorizadas. Visite https://etherscan.io/address/[your-address] y verifique si hay transacciones ERC-20 de su cuenta en cualquier cuenta no identificada. Muchas de las transacciones no autorizadas ocurrieron a partir de las 05:00 a. M. UTC del 2 de diciembre de 2021. Si sus fondos se pueden ver en Etherscan y app.badger.com con normalidad, no se vio afectado.
Verificar y revocar permisos de token. En este ataque, se pidió a los usuarios que establecieran permisos de token en la dirección del atacante, lo que les permitía eliminar fondos. En este momento, animamos a todos los usuarios de Badger a:
- Verifica todas las aprobaciones de tokens aquí: https://debank.com/profile/[your-address]/approve
- Busca esta dirección: 0x1fcdb04d0c5364fbd92c73ca8af9baa72c269107
- Rechaza esta aprobación
- Busque tus permisos y revoca cualquier otra aprobación de token no reconocida
Próximos pasos
Badger está llevando a cabo una investigación interna y está trabajando con los expertos en análisis forense de datos Chainalysis y Mandiant para comprender el alcance del ataque y determinar el mejor camino a seguir. Badger también está desarrollando un plan para reactivar los contratos inteligentes de forma segura.
Badger está cooperando plenamente con las autoridades policiales de EE. UU. Y Canadá en sus investigaciones y continuará publicando más actualizaciones lo antes posible.
Actualización — 4 de diciembre de 2021, 10:46:37 UTC
Badger continúa trabajando en estrecha colaboración con expertos forenses en Chainalysis y Mandiant, y con las autoridades policiales en los EE. UU. Y Canadá, para comprender la escala completa del incidente y trabajar hacia acciones correctivas.
Al mismo tiempo, Badger está desarrollando un plan para reactivar los contratos inteligentes de forma segura. Si bien actualmente no se dispone de un cronograma definitivo, Badger continuará publicando más información sobre este asunto a medida que esté disponible.
Actualización — 02 de diciembre de 2021, 15:00:59 UTC
Continúa la investigación.
Badger ha contratado a los expertos en análisis forense de datos Chainalysis para explorar la escala completa del incidente y las autoridades de los EE. UU. Y Canadá han sido informadas y Badger está cooperando plenamente con las investigaciones externas, así como procediendo con las suyas propias.
Por ahora, la pausa en los contratos inteligentes continúa para evitar más retiros. Badger compartirá más actualizaciones tan pronto como estén disponibles
Actualización — 01 de diciembre de 2021, 18:45:27 UTC
Badger ha recibido informes de retiros no autorizados de fondos de usuarios.
Mientras los ingenieros de Badger investigan esto, todos los contratos inteligentes se han detenido para evitar más retiros.
Nuestra investigación está en curso y daremos a conocer más información lo antes posible.
