2022 Multichain Hack

Multichain 最初名为 Anyswap，曾是一项热门的跨链代币转移服务。2022年1月10日，安全公司 Dedaub 私下报告了其合约中的两个严重缺陷。其中一个缺陷意味着它的路由合约没有正确检查传入的代币，因此攻击者可以诱使路由合约从任何授权过它们的钱包中拉取 WETH 和其他代币。Multichain 于2022年1月17日公开了这个问题，并敦促用户撤销授权，但这一公告也惊动了攻击者，他们立即开始掏空钱包。

总计约有550万美元在多条链上被盗。包括安全公司 BlockSec 在内的白帽黑客与攻击者争分夺秒，将面临风险的资金转移到安全的地方。部分攻击者也同意归还大部分赃款：其中一人归还了322 ETH，但留下了约15万美元作为小费。最终，被盗资金中大约一半被追回，攻击者手中留下了约300万美元。在攻击持续期间，许多用户批评 Multichain 的沟通令人困惑。

Multichain 始终没有修补这些存在漏洞的路由合约，而这些合约也无法升级。2023年5月，其 CEO 被中国警方拘留；2023年7月14日，Multichain 宣布停止运营。由于已无人维护这些合约，仍对旧路由合约有授权的钱包一直在被盗，最近一次发生在2026年。如果您曾在任何链上使用过 Anyswap 或 Multichain，请立即撤销对这些路由合约的授权。

受影响的用户只要没有撤销他们的授权，就仍处于风险之中。因此我们建议您使用下方的 Revoke.cash 漏洞检查器，以确保您的安全。