ParaSwap Hack

ParaSwap（現在の名称はVelora）は、多くの取引所から最良の価格を探し出すDEXアグリゲーターです。2024年3月、同社はAugustus V6と呼ばれるスワップルーターの新バージョンをリリースし、ユーザーはトークンを取引できるよう、これを承認しました。一般公開から2日も経たない2024年3月20日、チームは、新しいルーターを承認したウォレットから誰でもトークンを移動できてしまう重大な欠陥を発見しました。ParaSwapはただちにAPIを一時停止し、ウェブサイトからV6を削除して、以前のバージョンに戻しました。

その後、ParaSwapとホワイトハットハッカーたちは自らこの欠陥を利用して、危険にさらされていた約340万ドルの資金を安全な場所に移し、ユーザーが承認を取り消した後に返却しました。この救出の前に、すでに約2万4000ドルが失われていました。その後、一部のユーザーがV6への承認が残ったままのウォレットに新たに資金を追加し、攻撃者は続く攻撃で約110万ドルを奪いました。交渉の結果、攻撃者は約80万ドルを返還し、32万4000ドルが永久に失われました。2024年4月、ParaSwap DAOは、影響を受けたユーザーに全額を返金できるよう、トレジャリーから返金資金を拠出することを投票で決定しました。

ParaSwapは、それが可能だったPolygon、BNB Chain、AvalancheではV6ルーターを破棄しましたが、デプロイされていた他のチェーンでは欠陥のあるコントラクトが今も存在しています。いずれかのチェーンでAugustus V6を承認したことがある方は、今すぐその承認を取り消してください。危険は承認そのものから生じるため、コントラクトが残っていても、承認を取り消せばリスクはなくなります。承認を取り消すことでウォレットに残っている資産は守られますが、すでに奪われた資金が戻ってくるわけではありません。

影響を受けたユーザーは、承認を取り消さない限りリスクにさらされ続けるため、以下の Revoke.cash エクスプロイトチェッカーを使用して、ご自身が安全であることを確認することをお勧めします。