Тимот на Дедауб неодамна откри ранливост на договорите за UniSwap што може да загрози некои корисници.
Ранливост на UniSwap
Во неодамнешниот твит, Дедауб откри дека откриле грешка на договорите на UniSwap и ги информирале за ранливоста. Кога беа примени повратните информации, „UniSwap го реши проблемот и ги прераспореди паметните договори за универзалниот рутер на сите негови синџири“.
Според Твит од Дедауб, оваа ранливост го отвори патот за напади со повторно влегување, што би ги потрошило средствата на корисниците. Тимот на Dedaub објасни како напаѓачот/и би ја искористил оваа ранливост.
Раѓањето на оваа ранливост потекнува од ноември кога UniSwap го претстави својот универзален рутер. Овој рутер ги обединува NFT и ERC-20 замените во еден swap рутер. Целта беше да им се помогне на корисниците да извршат повеќе дејства како што се замена на повеќе NFT и токени во една трансакција.
Кога се користат правилно, командите на Универзалниот рутер ќе ја испратат одредената сума до наведениот примач. Меѓутоа, ако за време на преносот се повика код од трета страна, тој може повторно да го внесе рутерот и да бара токени во договорот. Ова е главно затоа што Универзалниот рутер држеше салда помеѓу трансакциите.
Во нивниот Proof-of-Concept, тимот на Dedaub забележа дека напаѓачот може да додаде команда SWEEP за сите токени што остануваат по испраќањето на првичните износи. Како дел од трансакцијата, примачот може брзо да ја исцеди целата сума.
Тимот на Uniswap дејствуваше брзо
Тимот на Дедауб веднаш го извести тимот на UniSwap за можноста од таков напад. Тие го советуваа тимот на Uniswap да вгради заклучување за повторно влегување во нивниот нов рутер пред да се распореди.
Uniswap се справи со проблемот веднаш, правејќи ги потребните прилагодувања пред да го усвои договорот. Uniswap го додели Dedaub тим 40 илјади долари награда за грешки за да ја покажат својата посветеност на безбедноста на поединците. Сепак, тимот на Uniswap го оцени проблемот како настан со големо влијание, но со мала веројатност. Оттука, ова може да се случи во многу сложени сценарија.
на DEX протокол UniSwap генерално е запознаен со нападите за повторно влегување. Во 2020 година, се појавија извештаи дека DEX, заедно со Lendf.me, изгубиле 25 милиони долари во едноставен напад за повторно влегување. Мрежата претрпе и други напади како хакирање. Во јули 2022 година, хакери уапсија 8 милиони долари ЕТХ користејќи фишинг напад.
Извор: https://crypto.news/uniswap-universal-router-was-vulnerable-to-re-entrancy-attacks/