路由器

ChainCatcher 消息，据慢雾安全团队披露，BonfireSwap 路由器合约因 transfer 函數存在訪問控制缺失，導致約 5 萬美元損失。該函數未校驗調用者是否為 from 地址，也未核驗調用者對 from 地址資產的授權，攻擊者因此可將已預先授權路由器的用戶設置為 from 地址、將自身設為 to 地址，進而轉走受害者 TOKEN 並通過同代幣池兌換。慢雾稱，共有 41 名曾授權該路由器的 TOKEN 持有人受影響；漏洞合約地址為 0x17e801e17cefc6334059189c178d4783830e03d3。

ChainCatcher 消息，据 CoinDesk 報導，來自加州大學聖巴巴拉分校、加州大學聖地牙哥分校、區塊鏈安全公司 Fuzzland 及 World Liberty Financial 的研究人員聯合發布論文，警告稱 "LLM 路由器"------即位於用戶與 AI 模型之間的中間服務------已成為加密資產安全的重大隱患。研究人員發現，26 個 LLM 路由器正在秘密注入惡意工具調用並竊取用戶憑證，其中一起事件導致客戶價值 50 萬美元的加密錢包被清空。此外，研究人員通過 "污染" 路由器生態系統，在數小時內即可控制約 400 台下游主機。由於私鑰、API 憑證等敏感數據往往以明文形式經由這些路由器傳輸，用戶實際上在毫不知情的情況下將資產暴露於風險之中。研究人員指出，隨著麥肯錫預測 AI 代理到 2030 年將中介 3 萬億至 5 萬億美元的全球消費商業，幣安創始人趙長鵬亦預測 AI 代理的支付量將是人類的百萬倍，當前基礎設施安全性嚴重滯後於行業發展速度，"最弱環節"風險或將引發系統性連鎖危機。

ChainCatcher 消息，据市場消息，加州大學研究人員近日披露，部分第三方 AI 大型語言模型（LLM）路由器存在安全風險，可能導致加密貨幣資產被盜。研究顯示，LLM 路由器作為 API 中介，能夠讀取明文信息，部分路由器被發現注入惡意代碼並竊取憑證。團隊測試了 28 個付費及 400 個免費路由器，發現有 9 個路由器主動注入惡意代碼，2 個部署規避觸發器，17 個訪問 Amazon Web Services 憑證，甚至有路由器通過研究人員的以太坊私鑰轉移 ETH。研究指出，路由器的惡意行為難以檢測，且部分 AI 代理框架的"YOLO 模式"可自動執行命令，增加安全風險。研究建議開發者不要讓私鑰或助記詞通過 AI 代理傳輸，並呼籲 AI 公司對響應進行加密簽名以加強安全。

ChainCatcher 消息，根據 Web3 資產數據平台 RootData X 追蹤數據顯示，過去 7 天，跨鏈路由器協議 Multichain 為 X（推特） Top 人物取關最多的項目，新取關該項目的 X 影響力人物包括雨中狂睡 (@0xSleepinRain)。

ChainCatcher 消息，Roam 與 Huma Finance 聯合推出的路由器貸款購買計劃，首批設備已全部售罄，新一批次設備正在籌備中，用戶可登錄 Roam 官網進行預訂。據悉，該硬體貸款購買活動於上週五啟動，用戶只需用穩定幣支付設備售價30%作為首付，其餘70%由 Huma 提供貸款，用戶將通過後續空投和挖礦獎勵償還貸款，貸款結清後設備收益歸用戶所有。 Roam 路由器是參與 Roam 全球開放式無線網絡建設的核心設備，用戶購買後將獲得豐厚獎勵：1）激活獎勵。首次激活設備將獲得3000 Roam Points，此後每日最高可獲得210 Roam Points；2）專屬燃燒池。更高的 token 轉換率確保路由器挖礦收益；3）空投白名單。參與總計 2000 萬枚$ ROAM 代幣的空投活動；4）多挖收益。除 Roam Points 外還可獲得更多生態優質項目 token ，也有機會獲得優質項目白名單、空投等多重收益。這一貸款購買計劃通過分期付款方式降低了用戶購買 Roam 路由器的門檻，吸引更多用戶參與 Roam Growth 建設。同時，也為 Huma 用戶提供機會參與 DePIN 網絡建設並獲得穩定收益。最新數據顯示， Roam 在全球 200+ 國家和地區服務超過 180 萬名註冊用戶，自建 WiFi 節點數超過110萬，並且 DePINscan 硬體節點排名持續保持第一，網絡規模保持不斷增長。

ChainCatcher 消息，Scam Sniffer 在社交平台表示，今日一用戶在 Arbitrum 上向 GMX Reward Router（獎勵路由器）簽署"signalTransfer（address receiver）"交易後損失了價值 92.7 萬美元的 GMX。據悉，此方法授予"接收者"撤回其 LP 代幣的權限。而接收者 0xbD2B 開頭地址是一個預先計算的合約地址，在 Drainer 轉移資產時創建的。Drainer 濫用 Create2，通過為每個惡意簽名生成新地址來繞過某些錢包中的安全警報。CREATE2 操作碼允許在將合約部署到以太坊網絡之前預測其地址，通過 Create2，Drainer 可以輕鬆地為每個惡意簽名生成臨時的新地址。受害者簽名後，Drainer 在該地址創建合約並轉移用戶的資產。

ChainCatcher 消息，Uniswap Labs 宣布更新其 ERC20 和 NFT 交易路由器 Universal Router，更新後可改進其 NFT 聚合器和 Gas 價格。該服務可為用戶在執行跨多種代幣類型的交易時提供更大的靈活性，用戶需要簽署新的許可證。此外，Universal Router 的代碼已開源並提供漏洞賞金。（來源鏈接）

ChainCatcher 消息，慢霧創始人餘弦發推文稱："昨晚到現在我們收到不少人的反饋，難得拿到的 ARB 被盜了。這是其中一個原因：騙子構建了一個可升級的 DEX 路由器，通過早期的宣傳引誘用戶批准該路由器進行代幣交換，當用戶申請 ARB 空投並將其交換為批准的代幣時，路由器所有者通過合同升級竊取用戶之前批准的代幣。"（來源鏈接）

ChainCatcher 消息，安全公司 Dedaub 團隊宣布獲得 Uniswap Labs 的安全漏洞報告賞金，因為其披露 Uniswap 的一個嚴重漏洞，該漏洞有重入的可能性，會耗盡用戶的資金。不過，資金是安全的，且 Uniswap 團隊已解決該漏洞並在所有鏈上重新部署了 Universal Router 智能合約。Uniswap 在 2022 年 11 月份發布通用路由器「Universal Router」智能合約，可將 ERC20 和 NFT 兌換統一到一個交換路由器中，用戶可以執行異構操作，例如，在一筆交易中交換多個代幣和 NFT。Dedaub 表示，該路由器為各種代幣操作嵌入了腳本語言，此類命令可能包括向第三方（可能不受信任的）接收人的傳輸。如果在傳輸過程中的任何時候調用第三方代碼，該代碼可以重新進入 UniversalRouter 並在合約中臨時認領任何代幣。Dedaub 建議 Uniswap 為新路由器的核心執行添加一個重入鎖，並重新部署。

ChainCatcher 消息，Uniswap 宣布發布 Permit2 和通用路由器"Universal Router"兩個智能合約，其中，Permit2 允許在不同的應用之間共享和管理代幣批准，從而創建更統一、更具成本效益和更安全的用戶體驗，Universal Router 將 ERC20 和 NFT 兌換統一到一個交換路由器中。此外，Uniswap 還表示，與 Permit2 集成後，用戶可以在一次兌換中交換多個代幣和 NFT，同時節省 Gas 費用。（來源鏈接）