Revert Finance Hack

Revert Finance 为在 Uniswap V3 上提供流动性的用户提供分析和工具。它的 V3Utils 合约支撑着一项新功能，让用户可以在一笔交易中完成代币兑换并将其添加到 Uniswap V3 头寸中，为此用户需要授权 V3Utils 动用他们的代币。该合约允许调用者决定由哪个合约来执行兑换，却从不检查它是否真的是兑换路由合约。2023年2月18日，一名攻击者转而将其指向 USDC 等代币合约，让 V3Utils 把代币从授权过它的钱包中转走。

包括 Ethereum 和 Polygon 在内的多条链上的用户受到波及，总损失略低于3万美元。Revert 在数小时内于其应用中禁用了该功能，公布了 Ethereum、Polygon、Optimism 和 Arbitrum 上受影响的合约地址，并敦促用户撤销授权。它还运行了自己的机器人，赶在攻击者之前救出剩余的面临风险的资金。到那个周末结束时，所有受影响的用户都已获得全额退款，代币按各自的网络退还给了他们。

V3Utils 在部署时被刻意设计为没有所有者，且无法更改，因此它无法被暂停或修补。这个缺陷至今仍可被利用，任何剩余的授权仍可能被用来拿走代币。如果您曾在 Ethereum、Polygon、Optimism 或 Arbitrum 上授权过 Revert 的 V3Utils 合约，请立即撤销该授权。事件发生后，Revert 表示，其今后所有合约在上线前都将经过外部公司的审计。

受影响的用户只要没有撤销他们的授权，就仍处于风险之中。因此我们建议您使用下方的 Revoke.cash 漏洞检查器，以确保您的安全。