任意呼び出しの脆弱性が、$17MのSwapNetおよびAperture Financeハックの原因に

ブロックチェーンセキュリティ企業BlockSecは、2つの分散型金融（DeFi）プロトコルを襲い、1,700万ドル以上の損失をもたらした攻撃の技術分析を公開しました。

DEXアグリゲーターであるSwapNetは、Ethereum、Arbitrum、Base、Binance Smart Chain across で1,340万ドル以上の損失を被り、集中流動性ポジションを管理するAperture Financeは、同時かつ無関係な事象で推定367万ドルの損失を被りました。

「被害者コントラクトは、不十分な入力検証により任意呼び出し機能を露呈しており、攻撃者が既存のトークン承認を悪用してtransferFromを呼び出し、資産を空にすることができました。」 BlockSec は、Xでの分析の要約で述べています。

セキュリティ企業 述べたは、「これらの事象は、契約設計の柔軟性が、特に外部レビューが限られているクローズドソースシステムにおいて、厳格な呼び出し制約と慎重にバランスを取る必要があることを思い出させます。」

SwapNetの脆弱性の背景には何があったのか？

SwapNetの場合、脆弱性は、重要な入力に対する適切な検証が欠如していた関数0x87395540()に起因しました。 

攻撃者は、USDCなどのトークンアドレスに期待されるルーターまたはプールアドレスを置き換えることで、被害者コントラクトをだまし、トークンを有効な実行ターゲットとして扱わせました。 

これにより、攻撃者が制御するcalldataを使用して低レベルの呼び出しが実行され、被害者コントラクトが攻撃者に承認されたすべての資産を吸い上げることを可能にする呼び出しを実行することを可能にしました。

この脆弱性は、 Matcha Meta、DeFi交換メタアグリゲーターのユーザーに影響を与えました。彼らはプラットフォームの「ワンタイムアプロール」設定を無効にし、SwapNetコントラクトに無限の承認を直接付与していました。

最大の単一の損失は、約 $13.34百万を失った1人のユーザーから発生しました。合計で20人のユーザーが影響を受けました。攻撃はBaseのブロック41289829で始まり、SwapNetは最初のエクスプロイトが検出されてから45分後にBase上のコントラクトを一時停止しました。その後まもなく他のチェーン上のコントラクトも一時停止しましたが、その間に、3つのチェーンでさらに13人のユーザーが影響を受けました。

Aperture Financeでも同様の弱点が突かれた

Aperture Financeは、ユーザーに代わってUniswap V3の流動性ポジションを管理していますが、その関数0x67b34120()で同じクラスの脆弱性の被害者となりました。 

この関数が呼び出されると、内部関数0x1d33()が、呼び出し対象または関数セレクターに対して厳格な制約を課さずに、ユーザーが提供したcalldataを使用して低レベルの呼び出しを実行しました。

これにより、攻撃者はERC-20トークンを吸い上げる悪意のあるcalldataを構築し、Uniswap V3のポジションNFTの承認を行うことが可能になりました。

「即時流動性管理」機能の承認を行っていたユーザーが、この攻撃のリスクに晒されていました。

イーサリアムでの代表的な攻撃事例では、攻撃者は100 weiのETHのみを使用して脆弱な関数を呼び出すコントラクトを作成しました。ネイティブトークンをWETHにラップした後、悪意のあるWBTC.transferFrom()呼び出しが実行され、攻撃者はスワップ出力値を自身に指定して残高チェックを通過しながら、承認されたトークンを尽きさせました。

影響を受けたプラットフォームはどのような変更を行っていますか？ 

これらのインシデントを受け、両プロトコルはセキュリティへのアプローチを見直すよう促されました。まず、両プロトコルはRevoke.cashなどのツールを使用して承認を取り消すようユーザーに要請しました。 

Matcha Metaは、ユーザーがワンタイム承認を無効にするためのトグルを無効化したと述べています。また、当面の間SwapNetをプラットフォームから削除したとし、「カスタマイズ性をセキュリティよりも優先する姿勢は、今後許容しない」と表明しました。

Aperture Financeは次のように述べています。 影響を受けたWebアプリケーションの機能をすべて無効化したと明言しました。復旧活動については、「トップティアの forensic セキュリティ企業と緊密に連携し、資金の追跡のために法執行機関と調整している」と述べ、さらに資金の返還を交渉するためのチャネルも設置していると付け加えました。