2022 LI.FI Hack

LI.FI 是一项通过组合跨链桥和去中心化交易所，为代币在区块链之间转移寻找最佳路径的服务。攻击发生大约一个月前，LI.FI 推出了自己的智能合约，该合约还可以在跨链之前先兑换代币。这个兑换功能过于灵活，因为它允许调用者将其指向任意合约，而不仅限于交易所。2022年3月20日，一名攻击者利用这一点，让 LI.FI 合约把 USDC、USDT、DAI 和 AAVE 等代币从曾给予它无限授权的钱包中转走。

约60万美元在 Ethereum 上的一笔交易中被盗，攻击者随后将其全部兑换成了 ETH。LI.FI 发现后立即禁用了所有兑换功能，并在 Twitter 上向用户发出警告。LI.FI 承担了全部责任，并赔偿了所有受影响的用户，其中大部分用户在18小时内就获得了赔偿。部分用户还可以选择把损失转为对 LI.FI 的早期投资，而不是领取现金退款。LI.FI 也向攻击者提出以赏金换取归还资金，但截至其发布事后分析报告时仍未收到回应。

LI.FI 当天就在原合约上完成了修复，使其只允许调用一份经批准的交易所列表，随后重新开放了兑换功能。它还不再默认向用户请求无限授权。同一合约也部署在其他几条链上，对它的剩余授权已无法再被利用。您无需撤销这些授权，不过如果您不再使用 LI.FI，也可以将其撤销。

受影响的用户只要没有撤销他们的授权，就仍处于风险之中。因此我们建议您使用下方的 Revoke.cash 漏洞检查器，以确保您的安全。