ParaSwap Hack

ParaSwap 现名 Velora，是一个在众多交易所之间寻找最佳价格的 DEX 聚合器。2024年3月，它推出了新版兑换路由合约 Augustus V6，用户对其进行了授权，以便它能交易他们的代币。2024年3月20日，在公开上线不到两天后，团队发现了一个严重缺陷，任何人都可以借此从授权过新路由合约的钱包中转走代币。ParaSwap 立即暂停了其 API，从网站上移除了 V6，并切换回之前的版本。

随后，ParaSwap 和白帽黑客亲自利用这个缺陷，将约340万美元面临风险的资金转移到安全的地方，并在用户撤销授权后将资金归还给他们。在这次救援之前，已有约2.4万美元损失。一些用户后来又向仍对 V6 有授权的钱包存入了新资金，攻击者在后续攻击中拿走了约110万美元。经过谈判，攻击者归还了约80万美元，最终有32.4万美元永久损失。2024年4月，ParaSwap DAO 投票决定用其国库资金进行退款，使受影响的用户能够获得全额赔偿。

ParaSwap 在 Polygon、BNB Chain 和 Avalanche 这些可以销毁合约的链上销毁了 V6 路由合约，但在部署过的其他链上，这个有缺陷的合约仍然存在。任何在任何链上授权过 Augustus V6 的用户都应立即撤销该授权。危险来自授权本身，因此即使合约仍然存在，撤销授权也能消除风险。撤销授权可以保护您钱包中剩余的资产，但无法追回已被盗走的资金。

受影响的用户只要没有撤销他们的授权，就仍处于风险之中。因此我们建议您使用下方的 Revoke.cash 漏洞检查器，以确保您的安全。