セキュリティ企業SlowMistがPennysia利用者に承認取り消しを勧告。不正流出により4アドレスに影響

暗号資産セキュリティ企業のSlowMistは、Pennysiaで発生した不正流出（エクスプロイト）を受け、ユーザーに対して過去に許可したトークンの承認（アプルーブ）を取り消すよう促しました。オンチェーンデータによると、SlowMistが公式に警告を発する前にスワップ機能が無効化されていたことが確認されています。今回の不正流出では4つのアドレスが影響を受けたと報告されており、分散型金融（DeFi）プロトコルにおけるコントラクト権限管理の重要性を改めて示す事例となっています。

不正流出の検知とスワップ機能の停止状況

Pennysiaにおいて発生したエクスプロイトに対し、オンチェーン上の記録ではSlowMistによる公開警告より前の段階でスワップ機能が無効化されていたことが明らかになっています。

セキュリティ調査によると、被害を受けた対象として4つのアドレスが確認されています。外部からの指摘に先行してプロトコル側で取引停止措置が取られたと見られますが、すでにコントラクトに対してトークンの引き出し権限を与えているウォレットについては、依然としてリスクが残る可能性があると指摘されています。

トークン承認の取り消しが求められる背景

SlowMistなどの分析によると、今回の問題はPennysiaのコントラクトに対するトークンの利用許可（アプルーブ）に関連して発生したとされています。プロトコル側でスワップ機能が停止されても、過去にユーザーがスマートコントラクトに付与した承認権限そのものが自動的に無効化されるわけではありません。

そのため、過去にPennysiaを利用してトークン承認を行ったことのあるユーザーに対し、各ウォレット管理ツールなどを通じて権限を取り消す（リボークする）対応が強く推奨されています。

ポイント

• セキュリティ企業SlowMistが、Pennysiaのエクスプロイト発生に伴いユーザーへトークン承認の取り消しを呼びかけた点。
• 被害として4つのアドレスからの資産流出が確認されている点。
• SlowMistの公開警告に先立ち、オンチェーン上でスワップ機能が無効化されていた点。
• スワップ停止後も過去の承認権限は維持されるため、ユーザー自身によるリボーク対応が被害拡大防止に重要となる点。