BasketDAO Peripheral Exploit

BasketDAOは、複数のDeFiトークンを1つにまとめたDeFiインデックストークンであるBDIなどの、バスケットトークンを提供していたDeFiプロトコルです。メインのBDIコントラクトとは別に、BDIを時間差でミント（発行）・バーン（償還）できるアドオンのコントラクトも運用していました。2021年10月、チームはこれらのアドオンの1つであるDelayedBDIBurnerに深刻な欠陥があると警告を受けました。この欠陥により、コントラクト自体からだけでなく、コントラクトを承認したウォレットからも、誰でもBDIトークンを移動できてしまう状態でした。

攻撃者はこの欠陥を利用して、約34万3000ドル相当のBDIを奪いました。当初チームは、危険にさらされているのはコントラクトが保有するトークンだけだと考えていたため、緊急の修正で盗まれたトークンを取り戻した後、元のウォレットに送り返しました。しかし承認はまだ有効なままだったので、攻撃者は再びトークンを奪って売却し、その代金をTornado Cashに通しました。BasketDAOは後に、トレジャリーにある約11万8000ドル分の手数料収入を手放すことで、被害を受けた人たちに一部補償しました。

これを受けてBasketDAOは遅延ミント・バーンのモジュールを無効化し、影響を受けていないメインのBDIコントラクトで直接ミント・バーンする際の手数料を撤廃すると発表しました。プロジェクトはその後まもなく終了に向かい、2021年12月にはPieDAOが残りの製品を引き継ぐことを提案しました。チームはDelayedBDIBurner自体の修正を発表していないため、このコントラクトへの承認がまだ残っている方は、念のため取り消してください。承認を取り消せばウォレットに残っている資産は守られますが、失ったトークンが戻ってくるわけではありません。

影響を受けたユーザーは、承認を取り消さない限りリスクにさらされ続けるため、以下の Revoke.cash エクスプロイトチェッカーを使用して、ご自身が安全であることを確認することをお勧めします。