BSCex Hack

BSCexはBNB Chain上の分散型取引所で、後にLaunchZoneへとリブランドしました。SwapXコントラクトではトークンをスワップでき、そのためにはコントラクトにトークンを使用する承認を与える必要がありました。これらのコントラクトの古いバージョンのうち4つには深刻な欠陥があり、取引を依頼しているのが誰なのかを確認していませんでした。そのため、誰でも承認を与えたウォレットに代わって取引を行うことができました。たとえば、そのウォレットのトークンを攻撃者が管理する無価値なトークンと強制的に交換させ、価値を抜き取ることができたのです。

最初の流出は2023年2月27日に発生しました。LaunchZoneは翌日にエクスプロイトを発表し、被害額を約32万ドルと見積もりましたが、この数字は実際よりはるかに低いものでした。2023年3月、セキュリティ企業のScamSnifferは、脆弱な4つのバージョンのコントラクトすべてから次々と資金が抜き取られており、損失額がLaunchZoneの見積もりを大きく上回っていることを突き止めました。盗まれた総額は780万ドルを超えています。悪用された承認の多くは、攻撃の2〜3年前に与えられたものでした。

これらの古いコントラクトは今も脆弱で、多くのウォレットにはまだそれらへの有効な承認が残っているため、最初の攻撃から何年たっても流出が続いています。BNB ChainでBSCexやSwapXを使ったことがある方は、ずいぶん前に使うのをやめていたとしても、ウォレットを確認し、これらのコントラクトへの承認が残っていれば取り消してください。承認を取り消せばウォレットに残っているトークンは守られますが、すでに奪われたトークンが戻ってくるわけではありません。

影響を受けたユーザーは、承認を取り消さない限りリスクにさらされ続けるため、以下の Revoke.cash エクスプロイトチェッカーを使用して、ご自身が安全であることを確認することをお勧めします。