慢雾：DEX 聚合器 Pennysia 以太坊结算合约遭攻击，曾授权用户资产面临被盗风险
北京时间吴说区块链 ↗
事件摘要
慢雾 SlowMist 安全团队监测到，去中心化交易聚合器 Pennysia 部署在以太坊上的 Settlement 结算合约遭黑客利用，已有用户报告资产被盗。攻击者利用该合约存在的任意外部调用漏洞，滥用用户此前授予但尚未撤销的代币授权，在未经用户同意的情况下转移资产。慢雾提醒，所有曾向该合约（0x3a....795e）授权代币的用户应立即撤销相关授权，并公布攻击者地址为 0x81....8300。目前具体损失金额尚未披露。
业务影响
受影响的是曾与 Pennysia 以太坊 Settlement 合约交互并保留代币授权的用户：授权一旦未撤销，合约漏洞即可被第三方调用，直接划转钱包内相应代币，损失不以其是否继续使用该聚合器为前提。对聚合器运营方而言，结算合约引入任意外部调用等于把用户授权额度暴露给任意被调用地址，需要在合约设计与上线前审计中限制调用目标与授权额度。未与该合约建立授权关系的用户，暂不存在基于本次事件的撤授权动作。
建议关注
- 核对钱包是否曾向合约 0x3a....795e 授权代币，如有则立即撤销
- 检查历史交易记录，确认是否存在向该合约的授权及后续异常转出