Munchables開発者、悪用後に6280万ドル相当のイーサを返却

最近のエクスプロイトに関与したMunchablesの開発者は、ハッキングが報告されてから約8時間後、身代金を要求することなく6280万ドル相当のイーサを返却した。

3月26日午後9時30分（UTC）頃、イーサリアムベースのNFT（non-fungible token）ゲームであるMunchablesは、同社のGameFiアプリから17,400ETH以上が盗まれるハッキングを公表した。

事件後、MunchablesはPeckShieldやZachXBTを含むブロックチェーン調査会社と協力し、盗まれた資金の動きを追跡し、その阻止を試みた。

ZachXBTによると、この悪用はMunchablesチームが北朝鮮から「Werewolves0943」として知られる開発者を雇ったことに関連しているという。

3月27日午前4時40分（UTC）までに、Munchablesはハッカーが開発者の一人であることを突き止めた。1時間の交渉の後、元開発者はハッキングされた資金を返却することに同意した。Munchablesは次のように述べている：

"Munchablesの開発者は、ユーザー資金の回収を支援するため、関係するすべての秘密鍵を共有しました。具体的には、62,535,441.24米ドルを保持する鍵、73WETHを保持する鍵、そして残りの資金を含む所有者の鍵である。"

パックマンとして知られるイーサリアムのレイヤー2ブロックチェーンBlastの作成者は、ZachXBTのサポートに感謝の意を表明し、元Munchablesの開発者が身代金を要求することなく、最終的にすべての資金を返却することを選択したことを確認した；

MunchablesはBlastブロックチェーン上で運営されているため、パックマンはMunchablesチームと協力し、盗まれた資金を再配分する。

一方、ハッキングの被害者は、返金詐欺の被害に遭わないよう、公式な情報源からの連絡のみに頼るよう勧告されている。

この事件は、ハッカーが分散型金融（DeFi）アグリゲーターのParaSwapに関連する4つの異なるアドレスから約24,000ドルを盗んだ約4日後に発生した。プロトコルは資金の回収に成功し、影響を受けたユーザーへの返金手続きを開始した。

ParaSwapはホワイトハットハッカーの支援を受けて問題を解決し、脆弱なAugustusV6スマートコントラクトの権限を取り消した。ParaSwapによると、386のアドレスが脆弱性の影響を受けており、25日現在、213のアドレスがまだ欠陥のある契約の許可を取り消していない。