SushiSwap Hack

SushiSwap 是一个运行在多条区块链上的去中心化交易所。攻击发生前不久，Sushi 推出了一个名为 RouteProcessor2 的新路由合约，用于处理其网站上的兑换，并将其部署在14条链上。进行过兑换的用户都授权它动用自己的代币。这个路由合约存在缺陷：它不会检查为交易付款的请求是否真的来自交易池，因此任何人都可以诱骗它从授权过它的钱包中拉取代币。安全公司 HYDN 于2023年4月8日发现了这个漏洞，Sushi 随即从其网站上移除了该路由合约。

一名漏洞赏金猎人试图抢救面临风险的资金，但自动化机器人复制了这一操作并重放了攻击，于2023年4月9日在几秒钟内拿走了约1800 WETH。其他攻击者很快也跟进。随后，HYDN 在多条链上救出了超过75万美元的用户资金。在这1800 WETH 中，885 ETH 后来被归还，但约795 ETH 成了支付给网络区块构建者的费用，从未被归还。Sushi 为被救出的资金开设了申领页面，并承诺承担无法追回的损失。

RouteProcessor2 无法升级、暂停，也不受任何人控制，因此 Sushi 无法修复它，只能用一个新的路由合约将其取代。旧路由合约仍然存在于全部14条链上，并且仍存在漏洞。任何在它上线期间于 SushiSwap 上进行过兑换的用户，都可能仍对它保有授权，应立即撤销该授权。撤销授权可以保护您钱包中剩余的资产，但无法追回已被盗走的代币。

受影响的用户只要没有撤销他们的授权，就仍处于风险之中。因此我们建议您使用下方的 Revoke.cash 漏洞检查器，以确保您的安全。