Hashflow Hack

Hashflowはトークンをスワップするための分散型取引所です。今回の事件の前に、Hashflowは新しいスマートコントラクトに移行して古いものの使用をやめていましたが、多くのユーザーはそれらの古いコントラクトに与えた承認を取り消していませんでした。2023年6月14日、使用が終了したコントラクトに、承認済みのトークンを誰でもユーザーのウォレットから移動できる欠陥があることが明らかになりました。古いコントラクトはEthereum、Arbitrum、Avalanche、BNB Chain、Polygonにデプロイされており、これらすべてのチェーンが影響を受けました。

まずホワイトハットハッカーがこの欠陥を利用し、危険にさらされていたウォレットから60万ドル以上を回収用コントラクトに移して、所有者が取り戻せるようにしました。所有者は残高の全額を請求するか、10%をホワイトハットへのチップとして残すかを選ぶことができました。Hashflowはこの回収を支持し、現在の取引所は影響を受けていないと説明したうえで、被害を受けたすべてのユーザーの損失を補償すると約束しました。それでも、後にブラックハットハッカーが同じ欠陥を使い、まだ承認が残っていたウォレットから約4万ドルを奪いました。

使用が終了したコントラクトは今も脆弱です。Hashflowがコントラクトを切り替える前に使ったことがある方は、ここに掲載されているすべてのチェーンで古いコントラクトへの承認を確認し、取り消してください。救出された資金がまだ請求待ちの場合は、返ってきたトークンが再び奪われないよう、先に承認を取り消してから請求してください。承認を取り消せばウォレットに残っている資産は守られますが、すでに起きた盗難がなかったことになるわけではありません。

影響を受けたユーザーは、承認を取り消さない限りリスクにさらされ続けるため、以下の Revoke.cash エクスプロイトチェッカーを使用して、ご自身が安全であることを確認することをお勧めします。