CivTrade Hack

CivTradeはCivFundが提供していた取引アプリで、Uniswap V3で指値注文、つまりトークンが指定した価格に達したときにだけ実行される取引を出すことができました。利用するには、CivTradeのコントラクトにトークンを使用する承認を与える必要があり、多くの場合は上限なしでした。2023年7月8日、攻撃者は、本来Uniswapだけが使うはずのコントラクトの一部を誰でも呼び出せることを発見しました。攻撃者は偽のUniswapプールを用意してコントラクトをだまし、承認を与えたウォレットからトークンを移動させました。

第1波はその日の早朝にCivTradeの新しいバージョンを襲い、同じ日の後半には第2波が古いバージョンから資金を抜き取りました。Ethereum上でのこれらの攻撃によって、DAIなどのステーブルコインを含む合計27万ドル以上のトークンが奪われ、その多くはETHに交換されてミキサーのTornado Cashに送られました。CivFundは数時間のうちに新しいコントラクトを一時停止し、ユーザーに承認の取り消しを呼びかけた後、すべてのCivTradeのコントラクトを一時停止しました。CivFundによると、欠陥のあるコードは監査済みの別のプロジェクトからコピーされたもので、自社の監査でも見落とされていました。

CivFundは、被害を受けたユーザーへの補償と攻撃者との交渉を望んでいると述べましたが、資金が返還または補償されたかどうかはわかっていません。CivTradeが再開されることはなく、そのコントラクトは修正されずに一時停止されただけです。EthereumまたはPolygonでCivTradeを承認したことがある方は、それらの承認を取り消してください。承認を取り消せばウォレットに残っているトークンは守られますが、すでに奪われた資金が戻ってくるわけではありません。

影響を受けたユーザーは、承認を取り消さない限りリスクにさらされ続けるため、以下の Revoke.cash エクスプロイトチェッカーを使用して、ご自身が安全であることを確認することをお勧めします。