BasketDAO Hack

BasketDAOは、DeFiインデックスのBDIやステーブルコインインデックスのBMIなど、複数のトークンを1つにまとめ、Yearnを通じて利回りを得るインデックストークンを提供していました。プロジェクトは2021年10月のエクスプロイトの後に終了へ向かいましたが、コントラクトは稼働し続けていました。2022年3月下旬、攻撃者は、BMIインデックスに関連するものを含む2つのヘルパーコントラクトをだまして、承認を与えたあらゆるウォレットからトークンを移動させられることを発見しました。BasketDAOは2022年3月30日に1つ目のコントラクトについて、その翌日に2つ目のコントラクトについてユーザーに警告しました。

これらのコントラクトを承認していたウォレットから約120万ドルが盗まれました。BasketDAOは全員に承認の取り消しを求め、BasketDAOのウェブサイトではどのコントラクトも承認しないよう伝えるとともに、他のコントラクトを確認する間、ウェブサイトをオフラインにする作業を始めました。被害は2022年で終わりませんでした。2024年1月、セキュリティ企業のBlockSecは、BMIのヘルパーコントラクトを通じて10万7000ドル以上が流出したと警告し、改めてユーザーに承認の取り消しを呼びかけました。

2022年半ば、BasketDAOはコミュニティをPieDAOに引き継ぐ手配をし、BDIインデックスの保有者は2022年6月29日から7月21日までの間にPieDAOのインデックスへ交換できるようになりました。しかし移行はほとんど進まず、PieDAOは後にこの取り組みを失敗だったと述べています。脆弱なコントラクトは今もオンチェーンに残っており、2024年の流出が示すように、今でも悪用される可能性があります。BasketDAOを使ったことがある方は、もうそのトークンを持っていなくても、これらのコントラクトへの承認をすべて取り消してください。

影響を受けたユーザーは、承認を取り消さない限りリスクにさらされ続けるため、以下の Revoke.cash エクスプロイトチェッカーを使用して、ご自身が安全であることを確認することをお勧めします。