Unagii Hack

Unagiiは、StakeWithUsの開発チームによるDeFiの利回りプラットフォームで、ユーザーは利回りを生むボールトにトークンを預け入れます。同プラットフォームのWETHボールトには、WethZapという補助コントラクトが付属しており、ユーザーはETHのラップやアンラップとボールトの利用を1回のトランザクションで行うことができました。2023年6月、この補助コントラクトに所有権のチェックが欠けていることが判明しました。誰でもこのコントラクトを使って、それを承認していた他のユーザーのボールト資金を引き出し、ETHを自分のものにすることができたのです。

2023年6月28日、自動取引ボットがこの欠陥に気付き、補助コントラクトを承認していたユーザーのボールト資金から、約5万8000ドル相当の30.86 ETHを奪いました。Unagiiとの連携機能を開発していたDezy Financeがチームに警告しました。Unagiiは同じ欠陥を利用して、危険にさらされていた残りの約9万4000ドルの資金を自らが管理するウォレットに移したため、それ以上の資金が失われることはありませんでした。チームは同日中に、救出した資金を返却し、影響を受けたユーザーに補償しました。

Unagiiはボールトへの入金を一時停止し、新しいバージョンの補助コントラクトをデプロイすると述べましたが、古いコントラクトは修正されませんでした。当時Unagiiは、古い補助コントラクトへの承認がなければボールト内の資金は安全だと述べていましたが、今もこのコントラクトへの無制限の承認を持つウォレットが存在します。UnagiiのWETHボールトを使ったことがある方は、ボールトの資金が奪われないよう、このコントラクトへの承認を取り消してください。

影響を受けたユーザーは、承認を取り消さない限りリスクにさらされ続けるため、以下の Revoke.cash エクスプロイトチェッカーを使用して、ご自身が安全であることを確認することをお勧めします。