Auctus Hack

Auctusは、暗号資産のオプションを作成・取引できる、Ethereum上の分散型オプションプロトコルでした。古いベータ版コントラクトの1つであるACOWriterでは、オプションの作成と取引所での売却を1ステップで行えましたが、そのためにはこのコントラクトにトークンを使用する承認を与える必要がありました。このコントラクトでは、呼び出した人がどの取引所を使い、どんな指示を送るかを自由に決めることができ、そのどちらも検証されていませんでした。2022年3月26日、攻撃者はこれを悪用して、承認済みのトークンをユーザーのウォレットから直接引き出させました。

盗まれた総額は75万ドルを超え、その大部分は3月26日の主な盗難によるものでした。欠陥が知れ渡った後には、模倣犯による小規模な流出も続きました。Auctusは主な盗難の3日後にあたる2022年3月29日に緊急の警告を公開しました。その中で、ACOWriterコントラクトを承認したことがあるすべての人に承認の取り消しを求め、取り消す前にウォレットにトークンを移さないよう呼びかけました。移したトークンも奪われてしまう可能性があるためです。

この警告は今もAuctusのブログの最新の投稿のままで、ACOWriterコントラクトもオンチェーンに残っています。つまり、このコントラクトへの有効な承認が残っているウォレットは、何年たっても危険にさらされているということです。Auctusを使ったことがある方は、ACOWriterへの承認がないか確認し、承認済みのトークンをそのウォレットに追加する前に取り消してください。承認を取り消せば今持っている資産は守られますが、すでに奪われたトークンを取り戻すことはできません。

影響を受けたユーザーは、承認を取り消さない限りリスクにさらされ続けるため、以下の Revoke.cash エクスプロイトチェッカーを使用して、ご自身が安全であることを確認することをお勧めします。