2024 LI.FI Hack

LI.FI 是一项在众多区块链之间寻找代币兑换和跨链路径的服务，许多钱包和应用中的兑换功能都由它提供支持。它的主合约由多个独立模块组成，这些模块可以随时间添加或移除。2024年7月16日，就在 LI.FI 添加了一个新模块后不久，攻击者发现该模块缺少合约中其他所有模块都会执行的一项安全检查。这使他们能够让 LI.FI 合约把代币从授权过它的钱包中转走。LI.FI 事后将原因归咎于部署过程中的人为失误。

攻击者从 Ethereum 和 Arbitrum 上的钱包中拿走了约1160万美元的 USDC、USDT 和 DAI。只有曾给予 LI.FI 无限授权的钱包受到影响，因为 LI.FI 自己的应用和工具默认只请求精确金额的授权。LI.FI 在所有链上禁用了这个存在漏洞的模块，在调查期间请用户不要使用由 LI.FI 提供支持的应用，并与执法部门和安全团队合作追踪被盗资金。它还表示，正在制定一项自愿方案，以全额赔偿受影响的用户。

由于存在漏洞的模块已被移除，而合约的其余部分仍在继续使用，这个问题已经修复，现有的 LI.FI 授权也无法再通过这个漏洞被滥用。不过，这已是 LI.FI 第二次遭遇类似的授权漏洞攻击，上一次发生在2022年。给合约精确金额而非无限额度的授权，可以在出问题时限制损失；撤销不再需要的授权也是一个好习惯。

受影响的用户只要没有撤销他们的授权，就仍处于风险之中。因此我们建议您使用下方的 Revoke.cash 漏洞检查器，以确保您的安全。