SushiSwap攻击事件进展

MetaSleuth发推称，SushiSwap RouteProcessor2合约攻击事件导致0xsifu（sifuvision.eth）损失1800枚ETH。第一个攻击者（0x9deff）已归还90枚ETH（盗取100枚ETH）。BlockSec帮助挽救100枚ETH，很快就会归还。

此外，sifuvision.eth与c0ffeebabe.eth正在进行谈判。大部分被盗资金流向beaverbuild、rsync-builder和Lido:Execution Layer Rewards Vault。

据此前报道，派盾发推称，SushiSwap RouteProcessor2合约存在与Approve相关漏洞，导致Frog Nation前CFO 0xsifu损失超过330万美元（约1900 ETH）。派盾提醒用户尽快撤销0x044b7开头合约相关权限以避免遭受损失。

Sushiswap项目遭到攻击，部分授权用户资产已被转移。 根本原因是由于合约的值lastCalledPool重置在校验之前，导致合约中针对pool的检查失效，从而允许攻击者swap时指定恶意pool转出授权用户资金，以其中0xea3480f1f1d1f0b32283f8f282ce16403fe22ede35c0b71a732193e56c5c45e8为例： 1.攻击者在约30天前创建了恶意pool合约 2.调用SushiSwap的路由函数processRoute进行swap，指定了创建的恶意合约为pool合约 3.最后在swap后恶意合约调用uniswapV3SwapCallback，指定tokenIn为WETH，from地址为受害者用户地址(sifuvision.eth)，从而利用受害用户对路由合约的授权转移走资金。 建议用户取消不同链上Sushiswap RouteProcessor2合约的授权。