四天前引入SushiSwap的一个漏洞在周六晚些时候被利用，从一个用户的账户中盗走了价值约330万美元的以太坊。
根据区块链安全和数据分析公司PeckShield的一篇推特文章，受害者–被称为Sifu的加密货币推特社区的著名成员–控制的一个钱包被SushiSwap的RouterProcessor2合约中的一个 “批准相关的错误 “盯上，盗取了大约1800个ETH.
看来@SushiSwap RouterProcessor2合约有一个批准相关的bug，导致@0xSifu出现☻330万美元的损失（约1800 eth）。
如果你已经批准了https://t.co/E1YvC6VZsP，请尽快*REVOKE*!
一个例子是hack tx： https://t.co/ldg0ww3hAN pic.twitter.com/OauLbIgE0Q
– PeckShield Inc. (@peckshield) April 9, 2023
由Binance支持的网络安全公司Ancilia进行的单独分析确定，该漏洞是在掉期交易的中途未能验证访问权限。该公司还在Polygon网络上发现了有漏洞的合同。
3/根本原因是在内部swap()函数中，它会调用swapUniV3()来设置变量 “lastCalledPool”，该变量位于存储槽0x00。后来在swap3callback函数中，权限检查被绕过了。pic.twitter.com/LN0Ppsob9a
– Ancilia, Inc. (@AnciliaInc) April 9, 2023
SushiSwap的 “主厨 “Jared Gray在大约一个小时后确认了这个错误和漏洞，并重复了Peckshield的建议，即与SushiSwap区块链进行过互动的用户撤销授予其合约的所有权限。格雷两周前曾爆出SushiSwap被美国证监会传唤的消息。
周日清晨，SushiSwap首席技术官Matthew Lilley跟进了更多细节。
＃
＃我们目前正在全力以赴，通过识别所有受RouterProcessor2漏洞影响的地址。Lilley写道。”已经启动了几个救援项目，我们正在继续监测/救援资金，因为它们可用。”
“目前，使用寿司协议以及用户界面没有任何风险，”他继续说。”所有对RouterProcessor2的暴露已经从前端移除，所有[提供流动性和]当前的交换活动都是安全的。”
为了帮助用户确定他或她是否授予RouteProcessor2访问其资金的权利，Lilley发布了一个工具的链接，以检查在各种网络中的曝光，包括Ethereum、Polygon、Avalange、Arbitrum、Gnosis、Optimism和其他。
根据Grey的说法，Sifu被盗资金中的300多个ETH后来被追回，另外700个ETH正在追回中。追回的努力已被加密货币可视化服务MetaSleuth所追踪。
@SushiSwap RouteProcessor2受到攻击，sifuvision.eth @0xSifu因此损失了1800ETH。我们追踪了被盗资金，并将其呈现如下。
第一个攻击者（0x9deff）已经归还了90个ETH（100个被盗的）。BlockSec救出了100个ETH，并将很快归还。The… https://t.co/sMqzNiDL5p pic.twitter.com/kGrt9cifIS– MetaSleuth (@MetaSleuth) April 9, 2023
尽管有黑客攻击，但SushiSwap的SUSHI代币的价格在过去24小时内只略微下降了3%左右。
2021年，当一位 “白帽子 “加密货币研究员发现一个可能被利用的竞价漏洞，导致3.5亿美元的损失时，SushiSwap勉强避免了一场大规模黑客攻击。
