dYdX Hack

dYdXは分散型の暗号資産取引所です。2021年11月24日、dYdXは新しい入金用コントラクトをローンチしました。これを使うと、さまざまなトークンでdYdXアカウントに入金でき、その過程でトークンはUSDCに変換されました。利用するには、このコントラクトにトークンを使用する承認を与える必要がありました。その3日後の2021年11月27日、ある取引会社のメンバーが、このコントラクトをだまして、承認を与えたあらゆるウォレットから所有者の許可なくトークンを送金させられることを報告しました。

dYdXは数時間のうちに同じバグを利用して、危険にさらされていた約200万ドルの資金を救出し、元の所有者だけが引き出せるエスクローコントラクトに移しました。dYdXが運用する回収用ボットも、同じ方法でさらに53万3000ドルを救出しました。こうした取り組みにもかかわらず、それらの資金を確保する前に、自動化されたボットによって20万ドル強が盗まれました。dYdXはこれらの損失を自己資金で全額補填し、ユーザーのガス代も負担したうえで、バグを報告した人に50万ドルの報奨金を支払いました。

当時、被害を受けたユーザーはdYdXのウェブサイトから承認を取り消し、エスクローに預けられた資金を取り戻すことができました。dYdXは、承認の対象となっているトークンは奪われる可能性があるため、承認を取り消すまではウォレットにトークンを送らないよう警告していました。この警告は今も当てはまります。この入金用コントラクトへの承認がまだ残っている場合は、そのウォレットにトークンを送る前に承認を取り消してください。

影響を受けたユーザーは、承認を取り消さない限りリスクにさらされ続けるため、以下の Revoke.cash エクスプロイトチェッカーを使用して、ご自身が安全であることを確認することをお勧めします。