Zapper Hack

Zapperは人気のDeFiダッシュボードアプリです。2021年には、トークンをスワップしてEthereumからPolygonへワンステップで移動できるPolygon Bridge機能を提供しており、ユーザーはブリッジコントラクトにトークンの使用を承認していました。Zapperがこれを新しいバージョンに置き換えた際、古いコントラクトは多くの承認が有効なままEthereum上に残されました。この古いコントラクトは与えられた指示を何でも実行してしまうことが判明し、誰でもこれを使って、コントラクトを承認したウォレットからトークンを移動させることができました。

ホワイトハットの研究者たちがこの欠陥を報告した後、コントラクトに適切な一時停止機能がなかったため、Zapperは2021年6月13日に自らこの欠陥を利用して、危険にさらされた資金を安全な場所へ移しました。あるボットがZapperの最初の救出トランザクションを25秒後にコピーし、さらに46万5000ドルを奪いましたが、セキュリティ研究者のsamczsunが連絡を取った後、ボットの運営者は資金を返還しました。Zapperは影響を受けたユーザーに補償し、ユーザーは承認を取り消した後に資金を請求して取り戻すことができました。しかし、2つ目のボットは気付かれないまま、その後の19か月間で約36万7000ドルを奪い、この資金は返還されていません。

Zapperはコントラクトの停止設定もオンにしましたが、この設定では実際には欠陥を防げません。コントラクトへの承認が残っていたウォレットは、2026年になっても資金を抜き取られていました。ZapperのPolygon Bridgeを使ったことがある方は、Ethereum上の承認を確認し、このコントラクトへの承認が残っていれば取り消してください。承認を取り消すことでウォレットに残っているトークンは守られますが、すでに奪われたトークンが戻ってくるわけではありません。

影響を受けたユーザーは、承認を取り消さない限りリスクにさらされ続けるため、以下の Revoke.cash エクスプロイトチェッカーを使用して、ご自身が安全であることを確認することをお勧めします。