Liquid Crypto Hack

Liquid Cryptoは複数のブロックチェーン上で稼働するDeFiの流動性プロトコルで、2023年12月にローンチした独自のLQDXトークンを持っています。同プロトコルのザップコントラクトを使うと、ユーザーはワンステップでLiquid Cryptoのプールに入金でき、利用するにはザップにトークンの使用を承認する必要がありました。2024年1月10日、ザップが入金を要求しているのが誰なのかを一切確認していなかったことが判明しました。誰でも、ザップを承認したウォレットに代わって入金を開始し、そのウォレットのトークンを同意なしに使うことができたのです。

攻撃者がこの欠陥を悪用し、ユーザーから約2000ドルが盗まれました。セキュリティ企業のSlowMistが不審な動きを発見し、ザップへの承認を取り消すよう公にユーザーへ呼びかけるとともに、Liquid Cryptoに連絡を求めました。脆弱なザップは、Ethereum、BNB Chain、Avalanche、Mantle、JFIN Chainにデプロイされていました。Liquid Cryptoはこれを受けて、アプリ用に新しいザップコントラクトをデプロイしました。

古いザップコントラクトは停止されずにそのまま残されているため、それらへの承認は今でも同じ方法で悪用される可能性があります。2024年1月より前にLiquid Cryptoを使ったことがある方は、ここに記載されているすべてのチェーンで承認を確認し、古いザップへの承認を取り消してください。SlowMistはONUS Chain上のザップについても警告していますが、このリストには含まれていないため、ONUS Chainを使っていた場合は別途確認してください。承認を取り消すことでウォレットに残っている資産は守られますが、失われた資金が戻ってくるわけではありません。

影響を受けたユーザーは、承認を取り消さない限りリスクにさらされ続けるため、以下の Revoke.cash エクスプロイトチェッカーを使用して、ご自身が安全であることを確認することをお勧めします。