19 августа команда v12sec рассказала о серьёзной уязвимости в кошельке Rabby: скрытое извлечение подписи приводило к полному сливу кошелька, если пользователь оставался на вредоносной странице dApp 10 минут.
20 августа Rabby ответил: уязвимость закрыли сразу после обнаружения, исправление вошло в обновление от 11 августа. Для срабатывания требовались два условия сразу — кошелёк подключён к вредоносному сайту, а таймер автоблокировки вручную выставлен ровно на 10 минут (другие значения не затронуты). Мобильное приложение проблема не касается, случаев эксплуатации в реальных атаках команда не обнаружила.
Что сделать: проверить, что браузерное расширение Rabby обновлено, и заглянуть в настройки автоблокировки. Общее правило остаётся в силе — помните о рисках эксплойтов и не храните все активы в одном месте. DYOR.