Socket Hack

Socketは、ブロックチェーン間でトークンを移動する相互運用性プロトコルです。Bungee ExchangeのブリッジやRainbow Walletなど他のアプリのブリッジ機能を支えているため、多くのユーザーがSocketのメインコントラクトにトークンの使用を承認していました。攻撃の3日前、Socketはこのコントラクトにトークンをスワップするための新機能を追加しました。Halbornによると、レビュー済みのバージョンではなく、そのコードの初期バージョンが本番環境に反映されてしまったとのことです。2024年1月16日、攻撃者はこの機能が与えられた指示を確認していないことに気付き、Socketを承認していたウォレットから直接トークンを奪いました。

欠陥のある機能は7つのチェーンで稼働していましたが、攻撃者が約330万ドルを抜き取った多数のウォレットは、すべてEthereum上のものでした。Socketは最初の盗難から約15分後にこの機能を無効化し、翌日には通常のブリッジ機能を再開しました。交渉の結果、攻撃者は当時約230万ドル相当だった1,032 ETHを返還し、約100万ドルが攻撃者の手に残りました。その後Socketは、回収したETHに自社資金約110万ドルを加えて、影響を受けたユーザーに全額補償することを約束しました。

欠陥のある機能は削除されてもう使えないため、Socketのコントラクトは再び安全に使える状態にあり、それへの承認によってこの攻撃にさらされることはもうありません。それでもこの事件は、承認しているコントラクトにたった1回の不適切なアップデートが加わるだけで、一夜にしてトークンが危険にさらされうることを示しています。できる限り無制限の承認は避け、もう使っていないアプリへの承認は取り消しておくことをお勧めします。

影響を受けたユーザーは、承認を取り消さない限りリスクにさらされ続けるため、以下の Revoke.cash エクスプロイトチェッカーを使用して、ご自身が安全であることを確認することをお勧めします。