Biswap v3 Migrator Hack

BiswapはBNB Chain上の分散型取引所です。取引所のバージョン3をローンチした際、流動性提供者が資金をv2からv3へ1ステップで移せるよう、マイグレーターコントラクトもリリースしました。マイグレーターを使うには、流動性プールにおける自分の持ち分を表すv2のLPトークンを移動する承認を、マイグレーターに与える必要がありました。2023年6月30日、攻撃者はマイグレーターが与えられた情報を適切に検証していないことを発見しました。偽のトークンを渡すことで、他のユーザーの承認を使い、そのLPトークンの裏付けとなっている本物の資産を引き出すことができたのです。

この攻撃により、BNB Chain上の流動性提供者から約86万5000ドルが流出しました。攻撃がまだ続いている間にセキュリティ企業のBeosinが警告を発し、Biswapはユーザーにできるだけ早くマイグレーターコントラクトへの承認を取り消すよう呼びかけました。攻撃者は盗んだ資産をBNBに交換し、その一部をミキサーのTornado Cashで資金洗浄しました。Biswapはユーザーの資金について全責任を負うと表明し、2023年7月に被害を受けたユーザーに全額を補償しました。

被害を受けたユーザーには補償が行われましたが、脆弱なマイグレーターコントラクトは今もBNB Chain上にデプロイされたままなので、残っている承認は依然として悪用される可能性があります。承認を取り消すようにというBiswapのアドバイスは今も有効です。Biswap v3のマイグレーターを使ったことがある方は、ウォレットを確認し、マイグレーターに与えた承認をすべて取り消してください。これらの承認を取り消しても、Biswap上の他のポジションには影響しません。

影響を受けたユーザーは、承認を取り消さない限りリスクにさらされ続けるため、以下の Revoke.cash エクスプロイトチェッカーを使用して、ご自身が安全であることを確認することをお勧めします。