Polynomial Protocol Hack

Polynomial Protocol 是 Optimism 上的一个衍生品平台，于2022年推出了期权金库，用户可以将代币存入其中，通过卖出期权赚取收益。为了让存款更方便，Polynomial 还使用了一个单独的辅助合约（称为 zap），它可以一步完成兑换用户的代币并将其存入金库。这个 zap 接受任何人发送的兑换指令，却不做任何检查。2022年11月，一名攻击者利用这个缺陷，让 zap 从授权过它的钱包中拉取 USDC。

约7000美元的 USDC 被盗。损失之所以有限，是因为 zap 并不是 Polynomial 核心合约的一部分，而且 Polynomial 的网站从未请求无限授权，因此大多数钱包剩余的授权额度很少甚至没有。攻击者拿走的是那些授权过 zap 但之后没有继续存款的钱包中的 USDC。Polynomial 此前已向用户披露了这个漏洞，从网站上移除了 zap，并部署了一个带有适当限制的新合约。

Polynomial 赔偿了受影响的用户，其金库中的现有存款人没有受到影响。不过，旧的 zap 合约仍在链上，对它的授权仍会让这些钱包中的任何 USDC 面临风险。如果您曾在 Optimism 上授权过 Polynomial 的 zap，请立即撤销该授权。这只需要片刻，就能消除该合约带来的任何剩余风险。

受影响的用户只要没有撤销他们的授权，就仍处于风险之中。因此我们建议您使用下方的 Revoke.cash 漏洞检查器，以确保您的安全。