Furucombo Hack

Furucomboは、借り入れ、スワップ、貸し出しといった複数のDeFiの操作を、積み木のように組み合わせて1つのトランザクションにまとめられるアプリです。これを行うため、ユーザーはFurucomboのメインコントラクトにトークンを使用する承認を与えており、多くの場合は上限なしでした。2021年2月27日、攻撃者は、信頼されている連携先の1つであるレンディングプロトコルAaveが新しいバージョンをリリースしたと、このコントラクトに信じ込ませる方法を見つけました。その新バージョンとされたものは実は攻撃者自身の悪意のあるコードで、ユーザーがFurucomboに与えたすべての権限を使って実行されました。

攻撃者はこれを利用して、stETH、USDC、USDT、DAIを含む21種類のトークンで1400万ドル以上を奪い、収益をミキサーのTornado Cashに通しました。攻撃開始から約1時間後、FurucomboはAaveとの連携を許可済みコントラクトのリストから削除し、これにより攻撃者の次の試みは阻止されました。チームはハッキングを当局に報告し、後に補償計画を発表しました。被害を受けたユーザーには、Furucomboの500万COMBOトークンに対する請求権が与えられ、360日かけて段階的に支払われることになりました。

ユーザーがFurucomboのメインコントラクトに与えた承認は、取り消すまで有効なままです。当時、セキュリティ研究者は全員に承認を取り消すよう強く呼びかけていました。2021年初めごろにEthereum上でFurucomboを使った方は、ウォレットを確認し、このコントラクトへの承認が残っていれば取り消してください。承認を取り消せばウォレットに残っているトークンは守られますが、すでに奪われた資金が戻ってくるわけではありません。

影響を受けたユーザーは、承認を取り消さない限りリスクにさらされ続けるため、以下の Revoke.cash エクスプロイトチェッカーを使用して、ご自身が安全であることを確認することをお勧めします。