Maestro Hack

Maestro 是 Telegram 上一款热门的交易机器人，让用户可以直接在聊天中买卖代币。这些交易在后台通过 Maestro 的路由合约完成，用户需要授权该合约动用他们的代币。Maestro 于2023年10月13日发布了新版路由合约，但其中存在一个缺陷，任何人都可以让路由合约执行他们想要的任何操作。2023年10月24日，一名攻击者利用这一点，把代币从授权过该路由合约的钱包中转出，并将其卖出换成 ETH。

攻击者拿走了多种不同的代币（但没有拿走 ETH），并将它们卖出，换得约280 ETH。Maestro 发现了这次攻击，并在30分钟内将其阻止，交易在两小时内恢复正常。在大约10小时内，Maestro 就全额赔偿了每一个受影响的钱包。对于大多数代币，它回购了与损失完全相同的代币；对于流动性太低、无法回购的代币，它则按 ETH 价值赔付，并额外支付20%的奖励。这些赔偿总共花费了 Maestro 约610 ETH。

由于该路由合约可以升级，Maestro 得以直接在现有合约中修复缺陷，而不必用新合约替换它。Maestro 表示，该路由合约已完全恢复安全，用户无需撤销授权，也无需停止使用。如果您不再使用 Maestro，或者只是想更加谨慎，您仍然可以撤销对该路由合约的授权。

受影响的用户只要没有撤销他们的授权，就仍处于风险之中。因此我们建议您使用下方的 Revoke.cash 漏洞检查器，以确保您的安全。