2024 LI.FI Hack

LI.FIは、多くのブロックチェーン間でトークンをスワップしたりブリッジしたりするためのルートを見つけるサービスで、多くのウォレットやアプリのスワップ機能を支えています。メインのコントラクトは、時間とともに追加や削除ができる個別の部品で構成されています。2024年7月16日、LI.FIが新しい部品を追加した直後、攻撃者はその部品に、コントラクトの他のすべての部品が使用している安全チェックが欠けていることに気付きました。これにより攻撃者は、LI.FIのコントラクトを使って、LI.FIを承認していたウォレットからトークンを移動させることができました。LI.FIは後に、デプロイ作業中の人為的ミスが原因だったと説明しています。

攻撃者は、EthereumとArbitrum上のウォレットから、USDC、USDT、DAIで約1160万ドルを奪いました。LI.FI自身のアプリやツールはデフォルトで必要な金額ちょうどの承認を求めるため、影響を受けたのはLI.FIに無制限の承認を与えていたウォレットのみでした。LI.FIはすべてのチェーンで脆弱な部品を無効化し、調査中はLI.FIを搭載したアプリを使わないようユーザーに呼びかけ、法執行機関やセキュリティチームと協力して盗まれた資金を追跡しました。また、影響を受けたユーザーに全額補償するための自主的な計画を進めているとも述べました。

脆弱な部品は削除され、コントラクトの残りの部分は引き続き使用されているため、この問題は修正済みであり、LI.FIへの既存の承認がこのバグによって悪用されることはもうありません。ただし、LI.FIが同様の承認エクスプロイトの被害に遭ったのは、2022年の事件に続いてこれが2回目でした。コントラクトには無制限ではなく必要な金額ちょうどの承認を与えることで、問題が起きたときに奪われる金額を抑えられます。また、不要になった承認は取り消しておくことをお勧めします。

影響を受けたユーザーは、承認を取り消さない限りリスクにさらされ続けるため、以下の Revoke.cash エクスプロイトチェッカーを使用して、ご自身が安全であることを確認することをお勧めします。