Uniswap беше спасен од ранливост од оваа безбедносна фирма

Безбедносна фирма Дедауб Откриени и откри критична ранливост на популарната децентрализирана размена на Ethereum Uniswap. Тимот зад протоколот ја поправи грешката и засегнатите компоненти беа успешно прераспоредени - во спротивно, напаѓачот можеше да ги ублажи трансакциите за да ги украде средствата на корисникот. 

Uniswap избегнува опасност и поправа нови функции

Според безбедносната фирма, ранливоста била ненамерно имплементирана со Универзалниот рутер. Оваа компонента им овозможува на корисниците на Uniswap да тргуваат со ERC-20 токени и незаменливи токени „во еден swap рутер“.

Со други зборови, корисниците на Uniswap можат да ги оптимизираат своите операции и да тргуваат со повеќе токени и NFT во една трансакција, заштедувајќи време и пари. Оваа нова компонента исто така им овозможува на корисниците да префрлаат средства на трети страни. 

Кога ранливоста беше поставена, корисникот можеше да испрати трансакција до трета страна, а таа можеше да добие пристап до средствата на испраќачот. Дедауб го објасни следново:

(…) ако кодот од трета страна се повика во кој било момент од преносот (што се манифестира поради составот на протоколите), кодот може повторно да влезе во UniversalRouter и привремено да бара какви било токени во договорот (…). Напаѓачот, исто така, треба да го имплементира кодот за повторно да влезе во рутерот (извршување на повикот) и да ги избрише сите токени износи. Рутерот може да содржи средства во средината на трансакцијата поради други дејства и трансфери во сложена размена.

Универзалниот рутер ги задржува средствата на испраќачот додека трансакцијата е завршена. Додека се случуваше ова, средствата беа ранливи, а лош актер можеше да ги исцеди со повикување на специфични команди како што се „испраќање“ со „.Трансфер“ или. „. МЕТЕ“.

Ранливоста можеше да дозволи лошиот актер да „повторно влезе“ во трансакција користејќи ја оваа команда. Откако ќе влезеше внатре, напаѓачот можеше да ја „исцеди целата сума“ од паричникот на испраќачот. 

Безбедносната фирма го додаде следново за „бескрајните сценарија“ каде што можеше да се искористи ранливоста:

Доколку се повика недоверлив код во кој било момент од преносот, кодот може повторно да влезе во UniversalRouter и да бара какви било токени веќе во договорот за UniversalRouter. Таквите токени, на пример, може да постојат затоа што корисникот има намера подоцна да купи NFT, или да пренесе токени на втор примател, или затоа што корисникот заменува поголем износ отколку што е потребно и има намера да го „избрише“ остатокот за себе на крајот од повикот на UniversalRouter. И не недостасуваат сценарија во кои може да се повика недоверлив примач (...).

Ethereum DEX додели 3 милиони долари за баунти за грешки

Во декември 2022 година, Uniswap го лансираше универзалниот рутер како дел од нивната нова NFT компатибилност. Во тоа време, Uniswap Labs објави програма за награди од 3 милиони долари. На Dedaub му беше доделен овој износ за нивниот извештај за грешки на новата компонента.

Фирмата ја прослави наградата и фактот дека лошиот актер никогаш не ја искористил ранливоста. Покрај тоа, безбедносната фирма беше „единствениот извештај за грешка по кој дејствуваше Uniswap“. 

2022 година беше проблематична година за крипто и ризичните средства, додека макроекономските сили играа против секторот во зародиш. Корисниците доживеаја пречки надвор од опаѓачките цени бидејќи хакерите и лошите актери земаа милијарди од индустријата. 

Податоци од Тврди фирмата за аналитика на синџирот Chainalysis дека лошите актери добиле над 26 милијарди долари во криптовалути само од 2017 до 2021 година. Останува да се види дали 2023 година ќе го продолжи или ублажи овој тренд. 

До моментот на пишување, цената на UNI се тргува со 5.70 долари со странично движење на дневниот графикон.