比推消息，据慢雾安全团队披露，BonfireSwap 路由器合约因 transfer 函数存在访问控制缺失，导致约 5 万美元损失。该函数未校验调用者是否为 from 地址，也未核验调用者对 from 地址资产的授权，攻击者因此可将已预先授权路由器的用户设置为 from 地址、将自身设为 to 地址，进而转走受害者 TOKEN 并通过同代币池兑换。

慢雾称，共有 41 名曾授权该路由器的 TOKEN 持有人受影响；漏洞合约地址为 0x17e801e17cefc6334059189c178d4783830e03d3。