PANewsは5月6日、Blockaidの監視によると、Ethereum上のEkubo Protocolのカスタム拡張コントラクトが早朝に攻撃を受け、約140万ドルが盗まれたと報じた。Ekuboユーザー自身は影響を受けておらず、V2コントラクトをトークンの支払者として承認したユーザーのみが危険にさらされている。この脆弱性は、Ekubo拡張コントラクトの`IPayer.pay`コールバック関数に起因する。`token.transferFrom`の`payer`、`token`、`amount`パラメータはロックペイロードから直接生成され、攻撃者によって制御される。コントラクトは、支払者がロックの開始者か承認された支払者であるかをチェックしない。攻撃者は、Coreロックを介して拡張コントラクトにルーティングされた、ユーザーの以前のERC-20コントラクトへの承認を悪用し、承認されたユーザーを支払者として設定し、自身を引き出し受取人として設定することで、資産を盗むことができる。

以前の報告によると、EVMチェーン上のEkuboのSwapルーティングコントラクトでセキュリティインシデントが発生し、関連するアドレスの承認を取り消すことが推奨されました。