SushiSwap否認關于存在10億美元合約漏洞的報道

9月23日消息，自稱是白帽黑客的人聲稱發現了Sushiswap一個可能使價值超過10億美元的用戶資金受到威脅的漏洞。黑客表示“SushiSwap的兩個合約MasterChefV2和MiniChefV2中的緊急提款功能存在漏洞”--這些合約管理著交易所的2倍獎勵農場以及SushiSwap的非以太坊部署的資金池，如Polygon、Binance Smart Chain和Avalanche。黑客稱，雖然emergencyWithdraw功能允許流動性提供者在發生緊急情況時立即贖回他們的LP代幣，同時放棄獎勵，但如果SushiSwap池內沒有獎勵，該功能將失敗，從而迫使流動性提供者在大約10小時的過程中等待池子被手動重新填充，然后才可以提取他們的代幣。

對此，SushiSwap的匿名開發者Gupta已在Twitter上否認了這種說法，他強調，所描述的威脅“不是一個漏洞”，“沒有資金處于風險之中”。Gupta澄清說，“任何人”都可以在緊急情況下給獎賞池充值，從而繞過黑客聲稱的補充獎賞池所需的10小時多重簽名過程的大部分。“黑客聲稱有人可以投入大量的LP來更快地耗盡獎勵器是不正確的。如果你增加更多的LP，每LP的獎勵會下降。”（Cointelegraph）

智能投顧Rari Capital：SushiSwap LP獎勵預存款窗口已上線:DeFi智能投顧Rari Capital表示，SushiSwap LP獎勵預存款窗口已上線，用戶目前可以質押RGT LP代幣，并在大約5天后開始獲得RGT和SUSHI獎勵。[2021/2/17 17:24:16]

Cream 漏洞分析：攻擊者通過數額巨大的cySUSD從IronBank借入WETH等資產:TheBlock研究分析師@Frank Researcher在推特分析了CreamFinance推出的零抵押跨協議貸款Iron Bank被盜約3750美元資產的過程，具體為：1.攻擊者使用Alpha Homora從Iron Bank借入sUSD，每次借入資金都是上次借款的兩倍。2.攻擊者通過兩筆交易來完成任務，每次將資金借給Iron Bank獲得cySUSD。3.在某些時候，攻擊者從Aavev2獲得了180萬美元的USDC閃電貸款，并使用Curve將USDC換成了sUSD。4.攻擊者把sUSD借給Iron Bank，使得他們可以繼續獲得cySUSD。5.一些sUSD用于償還閃電貸款。6.此外，1000萬美元的閃電貸款也被用來增加cySUSD的數量。7.最終，攻擊者獲得了數額巨大的cySUSD，這讓他們可以從Iron Bank借到任何資產。8.隨后攻擊者借到了13.2萬枚WETH、360萬枚USDC、560萬枚USDT、420萬枚DAI。9.穩定幣已轉入Aavev2，隨后向Iron Bank部署者轉入1000ETH、向Homora部署者轉入1000ETH,向Tornado轉入220ETH、向Tornadogrant轉入100ETH，還有大約1.1萬枚ETH在攻擊者錢包地址中。[2021/2/13 19:42:00]

Certik：Sushiswap智能合約存在多個漏洞:CertiK安全研究團隊今日發文表示，新興的自動做市平臺，同時也是Uniswap的升級版SushiSwap，其項目智能合約中存在多個安全漏洞。

該漏洞可能會被智能合約擁有者利用，允許擁有者進行包括將智能合約賬戶內的代幣在沒有授權的情況下取空等操作在內的任意操作。同時該項目智能合約還存在嚴重的重入攻擊漏洞，會導致潛在攻擊者的惡意代碼被執行多次。嗶嗶News在此提醒用戶注意流動性挖礦風險。（嗶嗶News）[2020/8/29]