WINR Hack

WINR Protocol 是 JustBet 赌场背后的链上博彩协议，最初上线于 Arbitrum。它的 MixedSwapRouter 是一个通过交易所资金池兑换代币的合约，钱包需要授权它，以便它在兑换过程中转移自己的代币。这个路由合约存在缺陷：当资金池在兑换过程中要求付款时，路由合约直接从请求本身获取付款钱包的地址，却从不检查该请求是否来自真正的资金池。

2024年5月31日，一名攻击者建立了一个虚假资金池，并用它向路由合约发送付款请求，将授权过该路由合约的钱包指定为付款方。路由合约随后从这些钱包中拿走代币并交给了攻击者。约29.3万枚 WINR 代币被盗，当时价值约1.1万美元。安全公司 ChainAegis 当天就发现了这次攻击，并敦促人们撤销对该路由合约的授权。

损失金额不大，但该路由合约自攻击以来从未更改，因此缺陷依然存在，任何仍然给予它的授权都可能被用来拿走已授权的代币。WINR 后来于2024年9月在自己的区块链 WINR Chain 上推出了 JustBet，但该路由合约仍留在 Arbitrum 上。如果您曾授权过 WINR MixedSwapRouter，请撤销该授权。撤销授权可以保护您钱包中剩余的资产，但无法追回已损失的代币。

受影响的用户只要没有撤销他们的授权，就仍处于风险之中。因此我们建议您使用下方的 Revoke.cash 漏洞检查器，以确保您的安全。