Arcadia Finance Hack

Arcadia FinanceはBase上のDeFiプロトコルで、ユーザーは自分専用のArcadia Accountを通じて流動性ポジションを管理したり、借り入れを行ったりできます。また、別のコントラクトによって動くオプションの自動化機能も提供しており、ユーザーに代わってポジションのリバランスや複利運用を行います。2025年7月15日、攻撃者はこれらの自動化コントラクトの1つが、与えられたスワップの指示を適切に検証していないことを発見し、それを利用して他のユーザーのアカウントを空にしました。その前日には、不審なコントラクトによってArcadiaの自動一時停止機能が作動していました。チームがそれらを確認して一時停止を解除した後はクールダウン期間に入っていたため、本当の攻撃が始まったときに再び停止することができませんでした。

攻撃者は2回に分けて、USDCやUSDSといったステーブルコインを含む約360万ドルをBase上で奪い、その資金をETHに交換してEthereumにブリッジしたうえで、複数のアドレスに分散させました。Arcadiaはオンチェーンのメッセージを通じて、24時間以内に残りの資金を返還すれば10%を報奨金として渡すと攻撃者に提案しましたが、資金は返還されませんでした。Arcadiaは、レンディングとトークンのコントラクトは影響を受けていないと説明しました。保険を提供するNexus Mutualは、OpenCoverを通じて補償を購入していたユーザーに25万ドルを支払い、Arcadiaも被害を受けたユーザー向けに、リカバリートークンを使った独自の回復計画を示しました。

Arcadia Accountは、所有者が承認したトークンを移動することができ、自動化機能はそのアカウントに対して操作を行います。そのため、この欠陥はArcadiaに預けた資金だけでなく、ユーザーのウォレットにあるトークンにも及ぶ可能性がありました。こうした理由から、Arcadiaは、Arcadia Accountやその他のArcadiaのコントラクトへのトークンの承認をすべて取り消し、有効になっている自動化機能をオフにするようユーザーに呼びかけました。Base上でArcadiaを使ったことがある方は、残っている承認がないか確認し、取り消してください。承認を取り消せばウォレットに残っている資産は守られますが、すでに奪われた資産が戻ってくるわけではありません。

影響を受けたユーザーは、承認を取り消さない限りリスクにさらされ続けるため、以下の Revoke.cash エクスプロイトチェッカーを使用して、ご自身が安全であることを確認することをお勧めします。