Transit Swap Hack

Transit Swap 由 Transit Finance 运营，是一个在众多区块链上寻找最佳兑换路径的 DEX 聚合器。要通过它进行交易，用户需要授权其合约动用自己的代币。2022年10月初，一名攻击者发现其中一个合约会为任何提出请求的人转移已授权的代币，而不检查请求是否来自代币的所有者。攻击者利用这一点，从在 Ethereum 和 BNB Chain 上授权过 Transit Swap 的钱包中掏走代币，在短时间内拿走了约2400万美元。

Transit Swap 暂停了受影响的合约，并与 PeckShield、SlowMist、Bitrace 和 TokenPocket 合作，追踪到了攻击者的 IP 地址、电子邮件地址和钱包。随着调查步步逼近，攻击者在几天内归还了约1800万美元。随后，Transit Swap 通过一个专门的退款合约将追回的资金退还给受害者。剩余约500万美元始终未能追回。早期新闻报道给出的被盗和归还金额各不相同，但大多认为约70%的资金被追回。

这些合约从未被修复。Transit Swap 只是通过清空其设置将它们关闭，而它们仍由一个普通钱包控制，随时可以被重新启用。这意味着对它们的授权仍然存在风险。如果您曾在 Ethereum 或 BNB Chain 上授权过此处列出的 Transit Swap 合约，请撤销这些授权。撤销授权可以保护您钱包中剩余的资产，但无法追回已被盗走的资金。

受影响的用户只要没有撤销他们的授权，就仍处于风险之中。因此我们建议您使用下方的 Revoke.cash 漏洞检查器，以确保您的安全。