WINR Hack

WINR Protocolは、JustBetカジノを支えるオンチェーンのギャンブルプロトコルで、Arbitrum上で始まりました。そのMixedSwapRouterは取引所のプールを通じてトークンをスワップするためのコントラクトで、ウォレットはスワップ中にトークンを移動できるよう、これを承認していました。このルーターには欠陥がありました。スワップ中にプールが支払いを求めてきたとき、ルーターは支払うウォレットのアドレスを要求そのものから取得し、その要求が本物のプールから来たものかどうかを一切確認していなかったのです。

2024年5月31日、攻撃者は偽のプールを用意し、ルーターを承認していたウォレットを支払元として指定した支払い要求をルーターに送りました。するとルーターは、それらのウォレットからトークンを取り出し、攻撃者に渡しました。当時約1万1000ドル相当だった約29万3000 WINRトークンが奪われました。セキュリティ企業のChainAegisは同日中にこの攻撃を報告し、ルーターへの承認を取り消すよう呼びかけました。

被害額は小さかったものの、ルーターは攻撃後も変更されていないため欠陥は残ったままであり、今も与えられている承認は、承認済みのトークンを奪うために使われる可能性があります。その後WINRは、2024年9月に独自のブロックチェーンであるWINR ChainでJustBetをローンチしましたが、ルーターはArbitrum上に残っています。WINRのMixedSwapRouterを承認したことがある方は、その承認を取り消してください。承認を取り消すことでウォレットに残っている資産は守られますが、失われたトークンが戻ってくるわけではありません。

影響を受けたユーザーは、承認を取り消さない限りリスクにさらされ続けるため、以下の Revoke.cash エクスプロイトチェッカーを使用して、ご自身が安全であることを確認することをお勧めします。