Dexible Hack

Dexibleは、トークンのスワップで最良の価格を見つけるために複数の取引所を検索するサービスであるDEXアグリゲーターで、複数のチェーンで利用できました。利用するには、トレーダーはDexibleのコントラクトにトークンを使用する承認を与えていました。2023年2月17日、攻撃者はこれらのコントラクトの最新バージョンにある欠陥を悪用しました。スワップの際、ユーザーは取引をどの取引所経由で行うかをDexibleに指定できましたが、コントラクトはそれが本物の取引所かどうかを一切確認していませんでした。攻撃者は代わりにトークンコントラクトを指定し、ユーザーが承認していたトークンを引き渡すよう指示したのです。

攻撃者は200万ドル以上を奪い、その内訳はEthereumで約150万ドル、Arbitrumで約45万ドルでした。盗まれた資金は足取りを隠すためにミキサーのTornado Cashに送られました。Dexibleはコントラクトを一時停止し、EthereumとArbitrum以外では資金が抜き取られていなかったにもかかわらず、デプロイされていたすべてのチェーンで承認を取り消すようユーザーに呼びかけました。チームの発表は攻撃から9時間以上たってからだったため、公式の対応が遅いと批判されました。また、最新のコントラクトは外部の監査も受けていませんでした。

コントラクトを一時停止することは修正することとは違い、一時停止されたコントラクトは再び有効にすることができます。脆弱なDexibleのコントラクトは、Ethereum、Arbitrum、BNB Chain、Polygon、Optimism、Avalancheに存在します。これらのいずれかのチェーンでDexibleを使ったことがある方は、ウォレットを確認し、Dexibleへの承認を取り消してください。承認を取り消せばウォレットに残っているトークンは守られますが、すでに盗まれた資金が戻ってくるわけではありません。

影響を受けたユーザーは、承認を取り消さない限りリスクにさらされ続けるため、以下の Revoke.cash エクスプロイトチェッカーを使用して、ご自身が安全であることを確認することをお勧めします。