Rabby Swap Hack

Rabbyは、DeBankの開発チームが手がけるマルチチェーン対応の暗号資産ウォレットです。2022年9月14日、Rabbyはウォレット内で直接トークンを取引できるSwap機能をリリースしました。この機能を使うには、Rabbyのスワップコントラクトにトークンの使用を承認する必要がありました。それから約1か月後の2022年10月11日、攻撃者は、このコントラクトが呼び出し元から与えられた指示を確認せずに何でも実行してしまうことに気付きました。攻撃者はこれを使って、ユーザーがRabby Swapに承認していたトークンを自分に送るよう、トークンコントラクトに指示しました。

攻撃者は、EthereumとBNB Chain上のウォレットから約20万ドル相当の114 ETHと179 BNBを奪い、その資金をミキサーのTornado Cashに送りました。Rabbyはすぐに、Swapを使ったことがある人はすべてのチェーンで承認を取り消すよう警告し、Swapを一度も使ったことのないウォレットは影響を受けないと伝えました。このコントラクトはセキュリティ企業のPeckShieldによる監査を受けていましたが、欠陥は見逃されていました。Rabbyは保険基金から影響を受けたユーザーに補償しました。

同じ脆弱なスワップコントラクトが19のチェーンにデプロイされており、変更することはできません。一時停止も修正もされなかったため、それに与えられた承認は有効である限り危険なままであり、承認が残っているウォレットはすべてリスクにさらされ続けます。2022年にいずれかのチェーンでRabby Swapを使ったことがある方は、ウォレットを確認し、古いRabbyのスワップコントラクトへの承認を取り消してください。承認を取り消すことでウォレットに残っているトークンは守られますが、すでに奪われた資金が戻ってくるわけではありません。

影響を受けたユーザーは、承認を取り消さない限りリスクにさらされ続けるため、以下の Revoke.cash エクスプロイトチェッカーを使用して、ご自身が安全であることを確認することをお勧めします。