Unizen Hack

Unizen 是一个跨链 DEX 聚合器，也就是一项在众多交易所之间寻找最佳交易价格的服务。用户在交易时需要授权其在 Ethereum 上的聚合合约动用自己的代币。2024年3月8日，Unizen 将该合约升级到一个旨在降低 gas 费用的新版本。新版本会把指令转发给其他合约，而不检查这些指令将发往何处，因此任何人都可以利用它把代币从授权过它的钱包中转走。攻击者很快就开始滥用这个缺陷。

大约十一个小时后，Unizen 将合约回滚到之前的版本，而在此之前已有约360万美元被掏走。部分攻击者归还了约31万美元，因此攻击者最终留下了约320万美元。Unizen 提出以20%的赏金换取剩余资金的归还，并于2024年3月11日开始以 USDT 和 USDC 赔偿受影响的用户。这些赔偿主要来自 Unizen CEO Sean Noga 提供的一笔个人无息贷款，而不是追回的资金。

Unizen 回滚升级后，这个缺陷就被堵上了，此后该合约又经历了多次升级。事件发生后，它在大约两年时间里一直正常使用，因此对它的授权已不再面临这次漏洞攻击带来的风险。与任何您不再使用的合约一样，撤销不再需要的授权仍然是一个好习惯。

受影响的用户只要没有撤销他们的授权，就仍处于风险之中。因此我们建议您使用下方的 Revoke.cash 漏洞检查器，以确保您的安全。