Revert Finance Hack

Revert Financeは、Uniswap V3で流動性を提供する人向けに分析機能やツールを提供しています。同社のV3Utilsコントラクトは、トークンをスワップしてUniswap V3のポジションに追加するまでを1回のトランザクションで行える新機能を支えており、ユーザーはこのためにV3Utilsにトークンの使用を承認していました。このコントラクトでは、スワップを実行するコントラクトを呼び出し元が決められましたが、それが本物のスワップルーターかどうかは確認していませんでした。2023年2月18日、攻撃者はスワップルーターの代わりにUSDCなどのトークンコントラクトを指定し、V3Utilsを承認していたウォレットからトークンを移動させました。

EthereumやPolygonなどのチェーン上のユーザーが被害を受け、損失総額は3万ドル弱でした。Revertは数時間以内にアプリでこの機能を無効化し、Ethereum、Polygon、Optimism、Arbitrum上の影響を受けたコントラクトのアドレスを公開して、ユーザーに承認の取り消しを呼びかけました。また、攻撃者に奪われる前に、残っている脆弱な資金を救出するため独自のボットも稼働させました。その週末が終わるまでに、影響を受けたすべてのユーザーに全額が返金され、トークンはそれぞれのネットワーク上で返されました。

V3Utilsは意図的に所有者なしでデプロイされており、変更できないため、一時停止も修正もできません。この欠陥は今も悪用可能であり、残っている承認はトークンを奪うために使われる可能性があります。Ethereum、Polygon、Optimism、ArbitrumでRevertのV3Utilsコントラクトを承認したことがある方は、今すぐその承認を取り消してください。この事件の後、Revertは、今後のすべてのコントラクトをリリース前に外部企業による監査にかけると表明しました。

影響を受けたユーザーは、承認を取り消さない限りリスクにさらされ続けるため、以下の Revoke.cash エクスプロイトチェッカーを使用して、ご自身が安全であることを確認することをお勧めします。