2022 Multichain Hack

Multichain（当初の名称はAnyswap）は、ブロックチェーン間でトークンを移動するための人気サービスでした。2022年1月10日、セキュリティ企業のDedaubが、同社のコントラクトにある2つの深刻な欠陥を非公開で報告しました。そのうちの1つは、ルーターが渡されたトークンを適切に確認していないというもので、攻撃者はルーターをだまして、それを承認したあらゆるウォレットからWETHなどのトークンを引き出させることができました。Multichainは2022年1月17日にこの問題を公表し、ユーザーに承認の取り消しを呼びかけましたが、この発表によって攻撃者にも問題が知れ渡り、攻撃者はただちにウォレットから資金を抜き取り始めました。

これまでに複数のチェーンで合計約550万ドルが抜き取られています。セキュリティ企業のBlockSecを含むホワイトハットハッカーたちは、攻撃者と競い合うようにして、危険にさらされた資金を安全な場所へ移しました。一部の攻撃者は、奪った資金の大部分を返還することにも同意しました。ある攻撃者は322 ETHを返還しましたが、約15万ドルをチップとして手元に残しました。最終的に、抜き取られた資金の約半分が回収され、約300万ドルが攻撃者の手に残りました。攻撃が続く中、Multichainの分かりにくい情報発信は多くのユーザーから批判されました。

Multichainは脆弱なルーターを修正せず、ルーターはアップグレードもできません。2023年5月には同社のCEOが中国の警察に拘束され、2023年7月14日にMultichainは事業の停止を発表しました。これらのコントラクトを保守する人がいなくなったため、古いルーターへの承認が残っているウォレットは資金を抜き取られ続けており、直近では2026年にも被害が出ています。いずれかのチェーンでAnyswapまたはMultichainを使ったことがある方は、今すぐこれらのルーターへの承認を取り消してください。

影響を受けたユーザーは、承認を取り消さない限りリスクにさらされ続けるため、以下の Revoke.cash エクスプロイトチェッカーを使用して、ご自身が安全であることを確認することをお勧めします。