Unibot遭攻擊損失超60萬美元，TG BOT安全性存疑

原創 | Odaily星球日報

作者 | 秦曉峰

! [Unibot遭攻擊損失超60萬美元，TG BOT安全性存疑] (https://img-cdn.gateio.im/webp-social/moments-7f230462a9-1979bb04a2-dd1a6f-69ad2a.webp)

今天下午，多位社區成員反應，Telegram Bot 專案 Unibot 遭遇攻擊。 根據 Scopescan 監測，攻擊者從 Unibot 使用者處轉移代幣，並正在將其兌換成 ETH，目前損失已超過 60 萬美元。

消息一出，代幣 UNIBOT 從 55 USDT 最低跌至 33 USDT，最大跌幅 40% ，目前暫報 39.5 USDT。

! [Unibot遭攻擊損失超60萬美元，TG BOT安全性存疑] (https://img-cdn.gateio.im/webp-social/moments-7f230462a9-64fa992197-dd1a6f-69ad2a.webp)

安全公司：儘快取消授權

安全機構 BlockSecTeam 分析認為，由於代碼未開源，懷疑是 0x126c 合約中的函數 0xb2bd16ab 缺乏輸入驗證，從而允許任意調用。 因此，攻擊者可以調用「transferFrom」來轉出合約中批准的代幣。 BlockSecTeam 提醒使用者，儘快撤銷合約批准，並將資金轉移到新錢包。

! [Unibot遭攻擊損失超60萬美元，TG BOT安全性存疑] (https://img-cdn.gateio.im/webp-social/moments-7f230462a9-932721cdff-dd1a6f-69ad2a.webp)

Beosin 安全團隊分析認為，Unibot 被攻擊的根本原因在於 CAll 注入，攻擊者可以將自定義的惡意調用數據傳遞到 0xb2bd16ab合約中，從而轉移獲得 Unibot 合約批准的代幣。 Beosin Trace 正在對被盜資金進行追蹤，同時 Beosin 提醒使用者可在 Revoke 上取消錢包授權，鏈接：攻擊相關位址如下：

駭客蟄伏半年進行攻擊

本次 Unibot 一個蹊蹺點在於，駭客位址從今年 5 月 Unibot 合約部署後就進行蹲守。 根據 Scopescan 監測，駭客在 Unibot 啟動一周後，從 FixedFloat（混幣器）收到 1 枚 ETH 做為此次攻擊的 Gas，此後半年再沒有相關動作，直到今日進行攻擊。

不少加密社區用戶猜測，這次攻擊可能是 Unibot 內部人士作惡，因為事故發生時間非常巧合，正好是 Unibot 更換新合約後的視窗期（兩天前才升級的新合約），駭客輕易地找到了合約漏洞。

鏈上信息顯示，駭客錢包位址目前剩餘資產約63萬美元，剩餘資產佔比最多的是ETH，約為57.3萬美元，其他被盜資產涉及幣種情況如下

! [Unibot遭攻擊損失超60萬美元，TG BOT安全性存疑] (https://img-cdn.gateio.im/webp-social/moments-7f230462a9-b9cee2b04c-dd1a6f-69ad2a.webp)

另外根據 Lookonchain 監測，本次攻擊事件中一名用戶先後兩次資產被盜。 該用戶帳戶最初收到 20， 789 個的 USDC，花了 1000 美元購買了 SMilk，剩餘價值 19， 789 美元的 USDC 被攻擊者偷走了，但該使用者還沒有注意到。 今天下午，該使用者以 2， 194 美元的價格賣出 SMilk，賺了 1， 194 美元（收益率 120% ）; 一個小時后，最後剩下的 2194 美元的 USDC 又被偷了。

路由器出現漏洞，攻擊仍在持續

Unibot 官方發佈公告稱，本次攻擊主要是新的路由器（router）出現代幣批准漏洞，目前已經暫停了路由器; 由於該漏洞造成的任何資金損失都將得到補償，Unibot 將在調查結束后發佈詳細答覆。

! [Unibot遭攻擊損失超60萬美元，TG BOT安全性存疑] (https://img-cdn.gateio.im/webp-social/moments-7f230462a9-e058b238ba-dd1a6f-69ad2a.webp)

社區使用者@tomkysar 表示，針對 Unibot 的攻擊仍在持續，兩個攻擊者位址似乎仍然能夠從 0x126 Router 獲得批准的 addys 處獲取資金，用戶資金仍存在風險。

Scopescan 也發文表示，出現了新的 Unibot 攻擊者，部署了與此前攻擊者相同的合約，正在盜取用戶資金。

BOT 產品安全存疑

Unibot 是一款流行的新型 Telegram Bot，允許使用者無需離開 Telegram 應用即可交易加密貨幣貨幣。 該機器人易於使用、交易速度快，並提供多種功能，例如去中心化跟單交易、基於 DEX 的限價訂單以及針對 MEV 機器人的防護。

根據 CoinGecko 數據，UniBOT 自成立至今，收益為 8950 枚 ETH，位列所有 BOT 產品第二; Maestro 排名第一，累計收益 1.32 萬枚 ETH; Banana Gun 排名第三，收益為 1940 枚 ETH。

不過，BOT 產品也存在較大安全隱患，特別是最近 Maestro 合約也出現同樣的路由器漏洞，損失約 281 ETH——該漏洞允許攻擊者轉移其路由器 2 合約 （ ） 上已獲得批准的任何代幣。 最終，Maestro 選擇賠付使用者部分損失。