Rubic Hack

Rubicは、多くの取引所やブロックチェーンをまたいでスワップのルートを探すクロスチェーンDEXアグリゲーターです。同社のコントラクトは、各スワップを信頼済みルーターのリストにあるいずれかのルーターに渡す仕組みで、ユーザーはこれらのコントラクトにトークンの使用を承認します。Rubicは、一部のプロバイダーに必要だったことから、USDCトークンのコントラクトそのものをこの信頼済みリストに追加していました。2022年12月25日、攻撃者は、これを利用すればUSDCを経由する偽のスワップを実行し、Rubicを承認したあらゆるウォレットからUSDCを送金させられることに気付きました。

Ethereum上のユーザーから約150万ドル相当のUSDCが奪われました。攻撃者は盗んだUSDCをETHにスワップし、その大部分を追跡を逃れるためにミキサーのTornado Cashへ送りました。Rubicは攻撃開始から1時間余りで影響を受けたコントラクトを一時停止し、ウェブサイトを使わないようユーザーに警告して、全員に承認を取り消すよう求めました。その後Rubicは、影響を受けたユーザーにサポートチームへ連絡するよう求め、損失を補償しました。

影響を受けたコントラクトは変更できないため、修正されることはありませんでした。コントラクトは一時停止されたままで、そのうちの1つでは今もUSDCが信頼済みリストに含まれています。つまり、一時停止が解除されれば、このエクスプロイトは再び機能することになります。これらのコントラクトを承認したことがある方は、現在一時停止中であっても、承認を取り消してください。承認を取り消すことでウォレットに残っている資産は守られますが、すでに奪われた資金が戻ってくるわけではありません。

影響を受けたユーザーは、承認を取り消さない限りリスクにさらされ続けるため、以下の Revoke.cash エクスプロイトチェッカーを使用して、ご自身が安全であることを確認することをお勧めします。