Bitmor Hack

Bitmorは、Bitcoin購入のためのローンを提供する、Base上のBitcoinに特化したDeFiプラットフォームです。最初のDCA（ドル・コスト平均法）コントラクトでは、ウォレットのUSDCを使って定期的にBitcoinを購入するプランを設定できましたが、そのためにはコントラクトにUSDCを使用する承認を与える必要がありました。2026年5月25日、攻撃者はBitmorのためにこの購入を実行していたウォレットを乗っ取りました。そしてそれを使って、コントラクトの取引先を、通常利用していたUniswapの取引所から攻撃者自身の悪意のあるコントラクトに切り替えました。

悪意のあるコントラクトは、DCAプランを有効にしていたユーザーのウォレットから直接USDCを引き出し、合計約7000ドルを奪いました。被害はすべてBase上で発生しました。その大半は約2時間のうちに奪われ、同じ日の夕方には第2波として、まだ承認を取り消していなかったウォレットが狙われました。Bitmorによると、攻撃者はすでにBase上でフラグが付けられていた既知の攻撃者でした。チームはユーザーに対し、後からウォレットに入ってくるUSDCまで奪われないよう直ちに承認を取り消すこと、そしてプラットフォームにまだ預けているcbBTC（CoinbaseによるBitcoinのラップ版）を引き出すことを呼びかけました。

この攻撃は、ユーザーの過失ではなく管理者の鍵が盗まれたことが原因でしたが、それでもユーザーの承認を悪用して成り立っています。Bitmorの最初のDCAコントラクトへのUSDCの承認が残っているウォレットは、後からウォレットに入るUSDCも含めて、引き続き危険にさらされています。BitmorでDCAプランを設定したことがある方は、今すぐその承認を取り消してください。承認を取り消せば手元の資金は守られますが、すでに奪われたUSDCが戻ってくるわけではありません。

影響を受けたユーザーは、承認を取り消さない限りリスクにさらされ続けるため、以下の Revoke.cash エクスプロイトチェッカーを使用して、ご自身が安全であることを確認することをお勧めします。