Unibot遭攻擊損失超60萬美元，TG BOT安全性存疑

閱讀本文需 7 分鐘

路由器出現漏洞，攻擊仍在持續

原文標題：《Unibot 遭攻擊損失超60 萬美元，TG BOT 安全性存疑》

原文來源：Odaily 星球日報

< p>今天下午，多位社群成員反應，Telegram Bot 專案 Unibot 遭遇攻擊。根據 Scopescan 監測，攻擊者從 Unibot 用戶處轉移代幣，並正在將其兌換成 ETH，目前損失已超過 60 萬美元。

消息一出，代幣 UNIBOT 從 55 USDT 最低跌至 33 USDT，最大跌幅 40% ，目前暫報 39.5 USDT。

保全公司：盡快取消授權
安全機構 BlockSecTeam 分析認為，由於程式碼未開源，懷疑是0x126c 合約中的函數0xb2bd16ab 缺乏輸入驗證，從而允許任意呼叫。因此，攻擊者可以調用“transferFrom”來轉出合約中批准的代幣。 BlockSecTeam 提醒用戶，盡快撤銷合約批准，並將資金轉移到新錢包。

Beosin 安全團隊分析認為，Unibot 被攻擊的根本原因在於 CAll 注入，攻擊者可以將自訂的惡意呼叫資料傳遞到0xb2bd16ab 合約中，從而轉移獲得Unibot 合約批准的代幣。 Beosin Trace 正在對被盜資金進行追踪，同時 Beosin 提醒用戶可在 Revoke 上取消錢包授權，連結：https://revoke.cash/。攻擊相關位址如下：https://eagleeye./1425302424x2020 e4c0b4FAAB4d04< /p>

駭客蟄伏半年進行攻擊

本次Unibot 一個蹊蹺點在於，駭客地址從今年5 月Unibot 合約部署後就進行蹲守。根據 Scopescan 監測，黑客在 Unibot 啟動一周後，從 FixedFloat（混幣器）收到 1 枚 ETH 做為此次攻擊的 Gas，此後半年再沒有相關動作，直到今日進行攻擊。

不少加密社群用戶猜測，這次攻擊可能是Unibot 內部人士作惡，因為事故發生時間非常巧合，正好是Unibot 更換新合約後的窗口期（兩天前才升級的新合約），駭客輕易找到了合約漏洞。

鏈上資訊顯示，駭客錢包位址目前剩餘資產約63 萬美元，剩餘資產佔比最多的是ETH，約57.3 萬美元，其他被盜資產涉及幣種情況如下

另外根據Lookonchain 監測，本次攻擊事件中一名使用者先後兩次資產被竊。該用戶帳戶最初收到 20, 789 個的 USDC，花了 1000 美元購買了 SMilk，剩餘價值 19, 789 美元的 USDC 被攻擊者偷走了，但該用戶還沒有註意到。今天下午，該用戶以 2, 194 美元的價格賣出SMilk，賺了1, 194 美元（收益率120% ）；一個小時後，最後剩下的2194 美元的USDC又被偷了。