Radiant Capital Hack

Radiant Capitalは、Arbitrum、BNB Chain、Ethereum、Base上でトークンの預け入れや借り入れができるレンディングプロトコルでした。攻撃の数週間前、元業務委託先の人物を装ったハッカーがTelegram経由でマルウェアを送り、3人のコア開発者のデバイスを感染させました。2024年10月16日、これらの開発者がRadiantのマルチシグで日常的なトランザクションに見えるものに署名したとき、実際にはレンディングプールの管理権を攻撃者に渡すトランザクションに署名していました。Radiantとセキュリティ企業のMandiantは後に、この攻撃を北朝鮮と関係のあるハッキンググループによるものだと結論づけました。

攻撃者はArbitrumとBNB Chain上のレンディングプールを悪意のあるコードでアップグレードし、プールを空にしました。さらにその3分後には、プールへの承認がまだ残っているすべてのウォレットからトークンを引き出し始めました。プールから約5000万ドル、承認を通じてユーザーのウォレットからさらに1000万ドルが流出しました。EthereumとBase上のプールはアップグレードされず、被害はありませんでした。Radiantは失われた預け入れ資金を時間をかけて返済する計画を立てましたが、承認による損失も補償するというDAOの提案は可決されませんでした。2026年6月、Radiantは事業の終了を発表しました。

悪意のあるコードは今もArbitrumとBNB Chainのプールに組み込まれたままで、現在も使われています。2026年7月にもウォレットから資金が抜き取られており、数万件の承認がまだ有効なまま残っています。Radiantは、EthereumとBaseを含む4つのチェーンすべてで承認を取り消すよう勧めていました。承認による損失は補償されないため、承認を取り消すことが唯一の防御策です。Radiantを使ったことがある方は、今すぐレンディングプールへのすべての承認を取り消してください。取り消しても、すでに奪われたトークンが戻ってくるわけではありません。

影響を受けたユーザーは、承認を取り消さない限りリスクにさらされ続けるため、以下の Revoke.cash エクスプロイトチェッカーを使用して、ご自身が安全であることを確認することをお勧めします。