ハッカーが現地時間の14日、UNCX Networkの共有型トークンベスティングプールから約8万6000ドル相当を流出させた。他の暗号資産プロジェクトがロックしていたトークンが標的になった。セキュリティー企業のBlockaidによると、攻撃は現在も続いているという。
UNCX（旧称UniCrypt）は、暗号資産プロジェクトを対象に、インサイダーによる早期売却を防ぐためのトークンロックサービスを手掛ける。同社のコントラクトには各チェーン合計で約1億7970万ドル相当がロックされており、このうちイーサリアム上には1億1140万ドル相当が預けられている。
攻撃者はどのように他者のトークンを引き出したのか
Blockaidによれば、流出は1回のドレイン取引によって発生した。複数プロジェクトのロック済みトークンが同一プールに集約されていた。
攻撃者はまず複数のベスティングポジション（一定期間ごとにトークンを解放するスロット）を開設した。
続いて、大口ポジションを解放し、追加のトークンをプールに投入。その後、残高を追加したポジションをキャンセルした。
この操作で、ごく小規模なポジションが残された。Blockaidによると、この小さなスロットから他ユーザーのトークンを引き出せる状態となった。
UNCX公式によると、ベスティング済みトークンは監査済みコントラクトでタイムロックされる仕様。
「送信や売却、流動性追加、ステーキングはできない」と、公式ガイドの一節で説明されている。リンク
Blockaidは2つの攻撃者ウォレットを特定。Etherscanによれば、そのうち1つは8件の取引で約5874ドルを保有していた。
8万6000ドル流出が小規模プロジェクトにもたらす影響
UNCXは本稿執筆時点で、本件流出に関する公式声明を出していない。
同プラットフォームのトークンはほぼ無風だった。UNCX Network（UNCX）は24時間で0.16％高の24.80ドルを維持。時価総額は約90万5000ドル。
少額流出でもプロジェクト存続に致命傷となりうる。分散型取引所Full Sailは、8月の約9万1000ドルのハッキング流出後に事業を畳んだ。
古い契約コードへの攻撃も目立つ。Notional Financeは9月、レガシー契約の整数型オーバーフロー脆弱性により約173万ドルを失った。
トークンロッカーは、インサイダーによる売り抜け防止を可視化する仕組み。問題は、どのプロジェクトが被害を受けたか、UNCXがさらなる引き出しを阻止できるかにある。
