Orange Finance Hack

Orange Financeは、Arbitrum上で、Uniswap、PancakeSwap、SushiSwapなどの取引所の流動性ポジションを管理する自動ボールトを運営していました。ユーザーはこれらのボールトにトークンを預け入れており、そのためにはボールトがトークンを移動できるよう承認する必要がありました。2025年1月7日、攻撃者はチームの管理用ウォレットを掌握しました。このウォレットは、複数のチームメンバーの署名を必要とするマルチシグのはずでしたが、署名1つだけで操作できる設定になっていたため、漏えいした秘密鍵1つで十分だったのです。

攻撃者はすべてのボールトの所有者に自らを設定し、悪意のあるコードに差し替えて、預け入れられていたトークンを引き出しました。さらに同じコードを使って、ボールトへの承認がまだ残っていたウォレットからもトークンを引き出しました。Orangeによると、預け入れ資金から約78万4000ドル、承認から4万7000ドル、未請求の報酬から1万2000ドルが奪われました。Orangeはウェブサイト上で入金と出金を停止し、セキュリティグループのSEAL 911に協力を求め、資金の返還と引き換えの取引を攻撃者に持ちかけました。ボールトの資金の半分近くはStrykeプロトコル内にあり、そこでは間に合って一時停止されました。

Orangeは、根本的な原因はスマートコントラクトのバグではなく、鍵の管理のずさんさと内部統制の欠如にあったと述べました。また、ウォレットごとの損失額を公表したうえで、資金回収と補償の詳細を共有するとしています。攻撃者はボールトコントラクトの所有権を握っているため、それらに今も与えられている承認は、承認済みのトークンを奪うために使われる可能性があります。Orange Financeを使ったことがある方は、Arbitrum上の同社のボールトへの承認を取り消してください。承認を取り消すことでウォレットに残っている資産は守られますが、失われた資金が戻ってくるわけではありません。

影響を受けたユーザーは、承認を取り消さない限りリスクにさらされ続けるため、以下の Revoke.cash エクスプロイトチェッカーを使用して、ご自身が安全であることを確認することをお勧めします。