Polynomial Protocol Hack

Polynomial Protocolは、Optimism上のデリバティブプラットフォームで、2022年にオプションボールトをローンチしました。ユーザーはこのボールトにトークンを預け入れ、オプションの売却による利回りを得ることができます。入金を簡単にするため、Polynomialはザップと呼ばれる別の補助コントラクトも使用していました。このザップは、ユーザーのトークンをスワップしてボールトへ入金するまでをワンステップで行えるものでした。しかし、このザップは誰からのスワップ指示でも確認せずに受け付けていました。2022年11月、攻撃者はこの欠陥を利用して、ザップを承認していたウォレットからUSDCを引き出させました。

奪われたのは約7000ドル相当のUSDCでした。ザップはPolynomialのコアコントラクトの一部ではなく、Polynomialのウェブサイトも無制限の承認を求めたことがなかったため、ほとんどのウォレットでは承認がほとんど、あるいはまったく残っておらず、被害は限定的でした。攻撃者は、ザップを承認したものの、その後入金しなかったウォレットからUSDCを奪いました。Polynomialはすでにユーザーにこのバグを公表し、ウェブサイトからザップを削除して、適切な制限を設けた新しいコントラクトをデプロイしていました。

Polynomialは影響を受けたユーザーに補償し、ボールトの既存の預け入れ者には影響がありませんでした。しかし、古いザップコントラクトは今もオンチェーンに存在しており、それへの承認は、該当するウォレット内のUSDCにとってリスクであり続けています。Optimism上でPolynomialのザップを承認したことがある方は、今すぐその承認を取り消してください。取り消しはすぐに完了し、このコントラクトに関する残りのリスクを取り除けます。

影響を受けたユーザーは、承認を取り消さない限りリスクにさらされ続けるため、以下の Revoke.cash エクスプロイトチェッカーを使用して、ご自身が安全であることを確認することをお勧めします。