Táto bezpečnostná firma zachránila Uniswap pred zraniteľnosťou

Bezpečnostná firma Dedaub objavil a odhalili kritickú zraniteľnosť na populárnej decentralizovanej burze Ethereum Uniswap. Tím stojaci za protokolom chybu opravil a dotknuté komponenty boli úspešne premiestnené – inak by sa útočník mohol zmieriť s transakciami, aby ukradol prostriedky používateľa. 

Uniswap zabraňuje nebezpečenstvu a opravuje nové funkcie

Podľa bezpečnostnej firmy bola chyba zabezpečenia neúmyselne implementovaná pomocou univerzálneho smerovača. Tento komponent umožňuje používateľom Uniswapu obchodovať s tokenmi ERC-20 a nezameniteľnými tokenmi „do jedného swapového smerovača“.

Inými slovami, používatelia Uniswapu môžu optimalizovať svoje operácie a obchodovať s viacerými tokenmi a NFT v jednej transakcii, čím šetria čas a peniaze. Tento nový komponent tiež umožňuje používateľom prevádzať finančné prostriedky na tretie strany. 

Keď bola zraniteľnosť umiestnená, používateľ mohol poslať transakciu tretej strane a tá mohla získať prístup k finančným prostriedkom odosielateľa. Dedaub vysvetlil nasledovné:

(...) ak sa v ktoromkoľvek bode prenosu vyvolá kód tretej strany (čo sa prejavuje zložením protokolov), kód môže znova vstúpiť do UniversalRouter a dočasne si uplatniť akékoľvek tokeny v zmluve (...). Útočník tiež potrebuje implementovať kód na opätovné zadanie smerovača (spustenie hovoru) a pozametanie všetkých čiastok tokenov. Smerovač môže obsahovať prostriedky uprostred transakcie kvôli iným akciám a prevodom v komplexnom swape.

Univerzálny smerovač uchováva prostriedky odosielateľa, kým sa transakcia dokončí. Kým sa to stalo, finančné prostriedky boli zraniteľné a zlý aktér ich mohol vyčerpať volaním špecifických príkazov, ako napríklad „odoslanie“ s „.TRANSFER“ alebo. ".ZAMETAŤ."

Zraniteľnosť mohla zlému aktérovi umožniť „opätovné zadanie“ transakcie pomocou tohto príkazu. Keď bol útočník vo vnútri, mohol byť schopný „vyčerpať celú sumu“ z peňaženky odosielateľa. 

Bezpečnostná firma pridala k „nekonečným scenárom“, kde mohla byť zraniteľnosť zneužitá, nasledovné:

Ak sa v ktoromkoľvek bode prenosu vyvolá nedôveryhodný kód, kód môže znova vstúpiť do UniversalRouter a uplatniť si akékoľvek tokeny, ktoré už sú v zmluve UniversalRouter. Takéto tokeny môžu napríklad existovať preto, že používateľ má v úmysle neskôr kúpiť NFT alebo previesť tokeny druhému príjemcovi, alebo preto, že používateľ vymení väčšiu sumu, ako je potrebné, a má v úmysle „zamiesť“ zvyšok pre seba na konci hovor UniversalRouter. A nie je nedostatok scenárov, v ktorých môže byť zavolaný nedôveryhodný príjemca (...).

Ethereum DEX poskytuje 3 milióny dolárov na odmenu za chyby

V decembri 2022 spoločnosť Uniswap uviedla na trh univerzálny smerovač ako súčasť svojej novej kompatibility NFT. V tom čase Uniswap Labs ohlásili program odmien v hodnote 3 milióny dolárov. Dedaubovi bola udelená táto suma za ich hlásenie o chybe na novom komponente.

Firma oslavovala odmenu a skutočnosť, že zlý herec túto zraniteľnosť nikdy nezneužil. Okrem toho bola bezpečnostná firma „jediným hlásením o chybe, na základe ktorého Uniswap konal“. 

Rok 2022 bol problematickým rokom pre krypto a rizikové aktíva, zatiaľ čo makroekonomické sily hrali proti rodiacemu sa sektoru. Používatelia zažili prekážky za klesajúcimi cenami, keď hackeri a zlí herci zobrali z odvetvia miliardy. 

Údaje z Tvrdí to analytická spoločnosť Chainalysis že zlí herci len od roku 26 do roku 2017 dostali v kryptomene viac ako 2021 miliárd dolárov. Uvidí sa, či rok 2023 tento trend predĺži alebo zmierni. 

V čase písania tohto článku sa cena UNI obchoduje na 5.70 USD s bočným pohybom na dennom grafe.