Merkle Trade Hack

Merkle Tradeは、Aptosブロックチェーン上で稼働する無期限先物の取引プラットフォームです。2024年4月18日、同社はSwap & Depositという機能をリリースしました。これは、EthereumやArbitrumなどのEVMチェーン上のユーザーが、トークンをステーブルコインにスワップし、Aptos上のMerkle Tradeアカウントへワンステップで送れるというものです。この機能を使うには、新しいコントラクトにトークンの使用を承認する必要がありました。このコントラクトは実行できる操作を制限していなかったため、誰でもそれを使って、コントラクトを承認したウォレットからトークンを移動させることができました。

攻撃者はリリース直後にこの欠陥を発見し、Arbitrum上のユーザーから約2万ドルを奪いました。このコントラクトはEthereum、Arbitrum、Optimism、Polygon、BNB Chain、Avalancheの同じアドレスにデプロイされていたため、これらすべてのチェーンでの承認が危険にさらされていました。Merkle Tradeはアプリからこの機能を削除し、承認を取り消す方法のガイドを公開したうえで、影響を受けたユーザーに取り消しを求めるポップアップを追加しました。また、攻撃者のアドレスを主要な取引所に通報し、影響を受けたユーザーにはチームの資金から全額補償すると表明しました。

Swap & Depositのコントラクトは一時停止もアップグレードもできないため、脆弱なままです。Merkle Tradeはアプリを、影響を受けていなかった以前のコントラクトに戻しました。2024年4月18日以降にいずれかのEVMチェーンでSwap & Deposit機能を使った方は、使用したすべてのチェーンで、このコントラクトへの承認を取り消してください。承認を取り消すことでウォレットに残っているトークンは守られますが、すでに奪われたトークンが戻ってくるわけではありません。

影響を受けたユーザーは、承認を取り消さない限りリスクにさらされ続けるため、以下の Revoke.cash エクスプロイトチェッカーを使用して、ご自身が安全であることを確認することをお勧めします。