Ekubo Hack

Ekubo 是一个去中心化交易所，起步于 Starknet，后来扩展到 Ethereum 和 Arbitrum。为了降低在这些链上的兑换成本，它专门打造了节省 Gas 的路由合约，用户需要授权这些路由合约才能交易自己的代币。Ekubo 认为这些路由合约风险较低，因此选择不对其进行审计。2026年5月5日，攻击者发现，只要在正常兑换请求的末尾附加额外数据，就能诱骗路由合约从他人的钱包中拿走代币。这让他们可以动用任何授权过这些路由合约的人的代币授权。

攻击者在 Ethereum 上通过数十笔快速交易拿走了近142万美元，主要是 WBTC，另有少量 cbBTC、USDC 和其他代币。在 Arbitrum 上被盗的金额极少。Ekubo 迅速提醒用户撤销授权，其网站也不再请求对受影响路由合约的新授权。其核心合约、流动性提供者和 Starknet 部署均未受到影响。Ekubo 发布了详细的事后分析报告和赔偿计划，提议以被盗代币的形式偿还损失，每个地址设有赔偿上限。

受影响的路由合约无法更改，因此只要对它们的授权还在，就始终存在风险。Ekubo 已在未来的路由合约中修复了这个漏洞，其网站现在也会提醒仍对旧路由合约保有授权的用户。任何在 Ethereum 或 Arbitrum 上授权过 Ekubo 路由合约的人都应立即撤销这些授权，尤其是无限授权。Ekubo 的赔偿计划还要求受影响的用户在获得赔付之前，先撤销剩余的无限授权。此后，Ekubo 还提出了一项让代币授权自动过期的标准，并计划为未来的路由合约设置到期日期。

受影响的用户只要没有撤销他们的授权，就仍处于风险之中。因此我们建议您使用下方的 Revoke.cash 漏洞检查器，以确保您的安全。