Rubic Hack

Rubic 是一个跨链 DEX 聚合器，可以在众多交易所和区块链之间寻找兑换路径。它的合约会将每笔兑换交给受信任路由列表中的某一个来执行，用户需要授权这些合约动用他们的代币。由于部分服务提供商需要，Rubic 把 USDC 代币合约本身也加入了这个受信任列表。2022年12月25日，一名攻击者意识到，这让他们可以通过 USDC 发起一笔虚假兑换，使 Rubic 从任何授权过它的钱包中转走 USDC。

约150万美元的 USDC 从 Ethereum 上的用户那里被盗。攻击者将被盗的 USDC 换成 ETH，并将其中大部分转入 Tornado Cash 混币器，以隐藏资金踪迹。攻击开始一个多小时后，Rubic 暂停了受影响的合约，警告用户不要使用其网站，并要求所有人撤销授权。随后，Rubic 请受影响的用户联系其支持团队，并补偿了他们的损失。

受影响的合约无法更改，因此从未被修复。它们目前仍处于暂停状态，而且其中一个合约的受信任列表中仍包含 USDC，这意味着如果它们被取消暂停，这个漏洞就会再次生效。任何授权过这些合约的用户都应撤销授权，即使这些合约目前处于暂停状态。撤销授权可以保护您钱包中剩余的资产，但无法追回已被盗走的资金。

受影响的用户只要没有撤销他们的授权，就仍处于风险之中。因此我们建议您使用下方的 Revoke.cash 漏洞检查器，以确保您的安全。