BarnBridge Governance Attack

BarnBridgeはDeFiプロトコルで、そのSMART Yieldプールは、ユーザーの暗号資産を他のレンディングプラットフォームで貸し出し、固定または変動のリターンを提供していました。BarnBridgeは2023年に事業を終了し、同じ年に米国SECからの告発について170万ドルを超える金額で和解しています。コントラクトはオンチェーンに残り、多くのユーザーが与えた承認も残ったままでした。放棄されたDAOでステーキングされているガバナンストークンはごくわずかだったため、攻撃者はわずか約600ドル相当のトークンで投票を可決させることができました。攻撃者は通常のアップグレードを装った提案を提出し、反対票を投じた人は誰もいませんでした。

2026年7月15日にこの提案が発効すると、SMART Yieldコントラクトの管理権限が攻撃者に渡りました。攻撃者は約12分のうちにこの権限を使い、何年も前の承認が残っていたウォレットから直接USDCを引き出して、約776,600 USDC（約77万7000ドル相当）を奪いました。盗まれたUSDCはその後、約415 ETHに交換されました。セキュリティ企業のBlockaidは、流出の直前に危険な提案について公に警告し、承認を取り消すよう呼びかけていましたが、攻撃の時点でも古い承認の多くはまだ有効なままでした。

Blockaidはまた、実行待ちになっている2つ目の提案についても注意を促しました。この提案によって、BarnBridgeの他のSMART Yieldコントラクトに対するDAI、USDT、GUSD、RAIの承認が危険にさらされる可能性があります。これらのコントラクトもこの項目に含まれています。BarnBridgeを使ったことがある方は、トークンの種類にかかわらず、そのコントラクトへの承認を今すぐすべて取り消してください。この攻撃は、放棄されたプロジェクトへの承認が、使わなくなってから何年もたって危険になり得ることを示しています。承認を取り消せばウォレットに残っている資産は守られますが、すでに奪われた資金が戻ってくるわけではありません。

影響を受けたユーザーは、承認を取り消さない限りリスクにさらされ続けるため、以下の Revoke.cash エクスプロイトチェッカーを使用して、ご自身が安全であることを確認することをお勧めします。