跨鏈聚合平台 LI.FI 昨日遭駭客攻擊，受害資金初步分析達到 1,000 萬美元。更另社群氣憤的是，安全機構 Peck Shield 在分析此次攻擊時，竟發現此次的漏洞與 LI.FI 在 2022 年 3 月遭遇攻擊的漏洞基本相同…
（前情提要：DeFi協議Hedgey Finance遭駭客攻擊，損失達4,470萬美元）
（背景補充：突發！Curve穩定池遭「駭客攻擊」損失2676萬鎂、CRV重挫20%）
區塊鏈安全機構 Cyvers Alerts 昨（16）日稍晚在 X 上警告，其系統監測到跨鏈交易聚合平台 LI.FI 疑似遭遇駭客攻擊，受影響的用戶資金超過了 800 萬美元，建議用戶趕快撤銷錢包授權：
警報！LI.FI，我們的系統已經提交了有關你們協議的可疑交易，我們建議用戶趕快撤銷對以下地址的授權：
0x1231deb6f5749ef6ce6943a275a1d3e7486f4eae。
到目前為止，用戶資金已經流失了超過 800 萬美元，其中大部分是穩定幣！攻擊者已經將 USDC、USDT 兌換為 ETH。
在隨後的更新中，Cyvers Alerts 再發現 LI.FI 在以太坊 L2 網路 Arbitrum 上存在更多可疑交易，初步統計下來，上調災情損失共計達到了 1,000 萬美元。
LI.FI：正在調查漏洞
收到警報後，LI.FI 官方也迅速發文對此做出回應，表示正在調查可能存在的安全漏洞，並建議用戶暫時不要使用任何由 LI.FI 驅動的應用程式，同時撤銷對相關地址的所有授權。
小心釣魚連結
另外動區提醒，社群上已開始有惡意人士假借官方身份來提供撤銷授權的假釣魚連結，請務必小心謹慎 不要上當。
派盾：此次攻擊與兩年前的類似
但令社群憤怒的是，安全機構派盾（Peck Shield）在分析 LI.FI 遭遇的此次攻擊時指出，LI.FI 在 2022 年 3 月遭到攻擊時，當時的漏洞與此次受攻擊的漏洞基本相同：
在分析今天的駭客攻擊時，我們注意到 2022 年 3 月 20 日駭客對 LI.FI 發起的一次攻擊。這兩次的漏洞基本是一樣的。
我們從過去的教訓中學到了什麼？
派盾的分析一時引起社群成員的猜疑，有人認為這次的攻擊是 LI.FI 自導自演，因為該漏洞早在 2022 年就存在，為什麼到現在還沒能修復？也有人認為，按照以往經驗，此次攻擊也有可能是 LI.FI 內部員工發起的…不過，目前 LI.FI 尚未對此次攻擊的調查結果進行詳細披露，事情究竟如何還有待時間觀察。
While analyzing today's @lifiprotocol hack, we notice an earlier hack on the same protocol on March 20, 2022.
The bug is basically the same. https://t.co/YcuEe4efOT
Are we learning anything from the past lesson(s)? https://t.co/nV4IuX7T7j pic.twitter.com/aVB6FQ3MnT
— PeckShield Inc. (@peckshield) July 16, 2024
LI.FI 是什麼？
LI.FI 過去名為 Li.Finance，是一個跨鏈交易聚合平台。簡單來說，LI.FI 的功能就是在多個跨鏈橋和區塊鏈之間尋找最優的交易路徑。依據 LI.FI 創辦人的說法，LI.FI 的終極目標不僅是提供一個優化交易體驗的產品，而是可以成為未來所有 DApp 的通用協議。
據 LI.FI 官網資訊，目前與 LI.FI 交互的應用包括多個知名 Dapp，其中就有加密貨幣錢包 MetaMask、幣安交易所 Web3 錢包、NFT 交易平台 OpenSea…
》LI.FI 官方更新：智能合約漏洞已被遏制
LI.FI 官方於昨晚 23:45 發佈推文表示，目前受攻擊的漏洞已經得到遏制，受到影響的智能合約部分也被禁用，用戶的資金已處於安全狀態：
今日早些時候發生的智能合約漏洞已被遏制，受影響的智能合約部分已被禁用。
目前用戶不再面臨風險。受影響的錢包僅限於設置了無限授權的錢包，且數量非常少。我們正在與適當的執法機構和相關第三方（包括來自行業的安全團隊）合作，以追蹤被盜資金。
團隊將盡快發佈更詳細的事後分析。
