【プールのトークンが何度も引き出され、4つのチェーンで149万ドルが流出🚨🔓】

プロフィールからX先生のファングループに参加🔥

老舗のロックアップツールで、プールからトークンが何度も引き出される事態が発生。UNCXのVesting V2コントラクトに脆弱性がありました。自分の持ち分を超えるトークンを引き出せてしまう状態でした。10月15日までに、4つのチェーンで約149万ドルが流出。$UNCXのプロトコルでLPをロックしたことがある人は多いはず。今回問題が起きたのは、そのベスティングコントラクトです。🚨

脆弱性の仕組みは複雑ではありません。トークンをリリースする際、プールの持ち分総量は減らされましたが、各ポジションの記録は更新されませんでした。ポジションがキャンセルされると、システムが持ち分をもう一度差し引いてしまいます。プールの持ち分はどんどん減り、残ったポジションはより多く引き出せるようになりました。⚙️

資金は4つのチェーンから流出しました。最も多かったのはBNBチェーンで約96.9万ドル。イーサリアムで約24.2万ドル。証券会社系の新しいチェーンで約16.9万ドル。Baseで約11.4万ドルです。合計11回の引き出しで、10種類のトークンが関係していました。💸

最初の引き出しが成功したのは10月14日の正午ごろ。10月15日の午前2時すぎには、4チェーンでの被害額がまとまりました。その後、手口をまねるウォレットやMEVボットも加わりました。一人が脆弱性を見つけ、次々と便乗したのです。こうした追随の速さが、最も防ぎにくいと私は思います。最初の引き出しは8.6万ドルでしたが、最終的に149万ドルに膨らみました。🧨

プロジェクト側は10月16日、ホワイトハットが資金を返還したと発表しました。Baseプールの取引も再開しています。ただ、4チェーンの純損失については、現時点で新たな数字は発表されていません。私個人の見方では、$UNCXの149万ドルはあくまで概算です。いくら取り戻せるかは別の話。影響を受けたトークンの保有者は、すでに残高が変わっている可能性があります。🔍

簡単に言うと、ロックアップコントラクトはコールドウォレットではありません。常に動き続ける仕組みです。コードに穴があれば、プールは誰でも引き出せるATMになってしまいます。こうしたツールを使う前に、コントラクトの監査状況とバージョンを確認しましょう。古いバージョンのベスティングコントラクトには、大きな額を預けないほうが無難です。トークンの承認も一度に全額与えないように。🛠️

📌 持ち分のカウントを管理できず、4つのチェーンで149万ドルが繰り返し引き出されました。いくら回収できるかは、まだ不透明です。

ロックアップツールに預けたままのポジションはありますか？コメントで話しましょう。