Maestro Hack

Maestroは、チャット上から直接トークンを売買できる、Telegramの人気取引ボットです。これらの取引は裏側でMaestroのルーターコントラクトを通じて行われ、ユーザーはこのルーターにトークンの使用を承認しています。Maestroは2023年10月13日にこのルーターの新バージョンをリリースしましたが、そこには誰でもルーターに任意の操作を実行させられる欠陥がありました。2023年10月24日、攻撃者はこれを利用して、ルーターを承認していたウォレットからトークンを移し、ETHに売却しました。

攻撃者はさまざまなトークンを奪いましたが、ETHは奪っておらず、奪ったトークンを約280 ETHで売却しました。Maestroは攻撃を察知して30分以内に阻止し、2時間以内に取引は通常どおり再開されました。約10時間以内に、Maestroは影響を受けたすべてのウォレットに全額を返金しました。ほとんどのトークンについては、失われたものと同じトークンを買い戻して返しました。流動性が不足していてそれができない場合は、ETH建ての価値に20%のボーナスを上乗せして支払いました。返金にかかった費用は、合計で約610 ETHにのぼりました。

ルーターはアップグレード可能な設計だったため、Maestroは新しいコントラクトに置き換えることなく、既存のコントラクトの欠陥を修正できました。Maestroは、ルーターは再び完全に安全であり、ユーザーが承認を取り消したり利用をやめたりする必要はないと表明しています。もうMaestroを使っていない場合や、念のため慎重を期したい場合は、ルーターへの承認を取り消しても構いません。

影響を受けたユーザーは、承認を取り消さない限りリスクにさらされ続けるため、以下の Revoke.cash エクスプロイトチェッカーを使用して、ご自身が安全であることを確認することをお勧めします。