Unizen Hack

Unizenは、多くの取引所から最良の取引価格を探し出すサービスであるクロスチェーンDEXアグリゲーターです。ユーザーは取引の際、Ethereum上の同社のアグリゲーションコントラクトにトークンの使用を承認していました。2024年3月8日、Unizenはガス代の削減を目的として、このコントラクトを新しいバージョンにアップグレードしました。新バージョンは、送り先を確認せずに他のコントラクトへ指示を渡していたため、誰でもこれを使って、コントラクトを承認したウォレットからトークンを移動させることができました。攻撃者はすぐにこの欠陥の悪用を始めました。

Unizenが約11時間後にコントラクトを以前のバージョンに戻すまでに、約360万ドルが抜き取られました。一部の攻撃者が約31万ドルを返還したため、攻撃者の手に残ったのは約320万ドルでした。Unizenは残りの資金の返還に対して20%の報奨金を提示し、2024年3月11日から影響を受けたユーザーへのUSDTとUSDCでの補償を開始しました。補償の原資は、回収された資金ではなく、主にUnizenのCEOであるSean Nogaによる個人的な無利子融資でした。

この欠陥はUnizenがアップグレードを元に戻した時点で塞がれており、コントラクトはその後も何度かアップグレードされています。事件後も約2年間にわたって通常どおり使われてきたため、このコントラクトへの承認が今回のエクスプロイトによるリスクを負うことはもうありません。もう使っていないどのコントラクトについても言えることですが、不要になった承認は取り消しておくことをお勧めします。

影響を受けたユーザーは、承認を取り消さない限りリスクにさらされ続けるため、以下の Revoke.cash エクスプロイトチェッカーを使用して、ご自身が安全であることを確認することをお勧めします。