Zapper Hack

Zapper 是一款热门的 DeFi 仪表盘应用。2021年，它提供了 Polygon Bridge 功能，让用户可以一步完成代币兑换并将其从 Ethereum 转移到 Polygon，用户需要授权这个跨链桥合约动用他们的代币。Zapper 用新版本取代它之后，旧合约仍留在 Ethereum 上，许多授权依然有效。后来人们发现，这个旧合约会执行传给它的任何指令，因此任何人都可以让它把代币从授权过它的钱包中转走。

白帽研究人员报告这一缺陷后，由于该合约没有合适的暂停开关，Zapper 于2021年6月13日亲自利用这个缺陷，将面临风险的资金转移到安全的地方。一个机器人在25秒后复制了 Zapper 的第一笔救援交易，又抢走了46.5万美元，但在安全研究员 samczsun 与其取得联系后，机器人的运营者归还了这些资金。Zapper 赔偿了受影响的用户，他们在撤销授权后即可领回资金。然而，第二个机器人一直未被发现，在随后的十九个月里拿走了约36.7万美元，这些资金从未被归还。

Zapper 还开启了该合约的停止设置，但这项设置实际上并不能阻止这个缺陷被利用。直到2026年，仍对该合约有授权的钱包还在被盗。如果您曾使用过 Zapper 的 Polygon Bridge，请检查您在 Ethereum 上的授权，并撤销对该合约的所有剩余授权。撤销授权可以保护您钱包中剩余的代币，但无法追回已被盗走的代币。

受影响的用户只要没有撤销他们的授权，就仍处于风险之中。因此我们建议您使用下方的 Revoke.cash 漏洞检查器，以确保您的安全。