Ekubo Hack

Ekuboは、Starknetで始まり、後にEthereumとArbitrumにも展開した分散型取引所です。これらのチェーンでスワップを安くするため、ガス代を節約する特別なルーターを開発し、ユーザーはトークンを取引するためにこれらのルーターを承認していました。Ekuboはリスクが低いと判断し、これらのルーターの監査を受けないことにしました。2026年5月5日、攻撃者は、通常のスワップリクエストの末尾に余分なデータを付け加えることで、ルーターをだまして他人のウォレットからトークンを奪わせられることを発見しました。これにより、ルーターを承認したすべての人のトークン承認を使うことができたのです。

攻撃者はEthereum上で数十回の素早いトランザクションを行い、主にWBTCのほか、少額のcbBTCやUSDCなどのトークンを含め、142万ドル近くを奪いました。Arbitrumで奪われたのはごくわずかな額でした。Ekuboはすぐにユーザーに承認を取り消すよう警告し、ウェブサイトは影響を受けたルーターへの新たな承認を求めないようになりました。コアコントラクト、流動性提供者、Starknet上のデプロイメントは影響を受けていません。Ekuboは詳細な事後分析レポートと、奪われたのと同じトークンで、アドレスごとの上限までの損失を払い戻すことを提案する払い戻し計画を公開しました。

影響を受けたルーターは変更できないため、それらへの承認が存在する限り脆弱なままです。Ekuboは今後のルーターではバグを修正しており、ウェブサイトでは古いルーターへの承認が残っているユーザーに警告を表示しています。EthereumまたはArbitrumでEkuboのルーターを承認した方は、特に無制限の承認について、今すぐ取り消してください。Ekuboの払い戻し計画でも、被害を受けたユーザーに対し、支払いを受ける前に残っている無制限の承認を取り消すよう求めています。Ekuboはその後、自動的に期限切れになるトークン承認の標準規格を提案しており、今後のルーターには有効期限を設ける予定です。

影響を受けたユーザーは、承認を取り消さない限りリスクにさらされ続けるため、以下の Revoke.cash エクスプロイトチェッカーを使用して、ご自身が安全であることを確認することをお勧めします。