Uniswap u ruajt nga cenueshmëria nga kjo firmë sigurie

Firma e sigurisë Dedaub i zbuluar dhe zbuloi një cenueshmëri kritike në shkëmbimin popullor të decentralizuar të Ethereum Uniswap. Ekipi që qëndron pas protokollit rregulloi defektin dhe komponentët e prekur u rishpërndanë me sukses - përndryshe, një sulmues mund të kishte zbutur me transaksione për të vjedhur fondet e një përdoruesi. 

Uniswap shmang rrezikun dhe rregullon veçori të reja

Sipas firmës së sigurisë, cenueshmëria u zbatua pa dashje me Routerin Universal. Ky komponent i lejon përdoruesit e Uniswap të tregtojnë argumentet ERC-20 dhe tokenat jo të këmbyeshëm "në një ruter të vetëm shkëmbimi".

Me fjalë të tjera, përdoruesit e Uniswap mund të optimizojnë operacionet e tyre dhe të tregtojnë shumë argumente dhe NFT në një transaksion të vetëm, duke kursyer kohë dhe para. Ky komponent i ri gjithashtu i lejon përdoruesit të transferojnë fonde te palët e treta. 

Kur vulnerabiliteti ishte vendosur, një përdorues mund të dërgonte një transaksion te një palë e tretë dhe kjo e fundit mund të kishte fituar akses në fondet e dërguesit. Dedaub shpjegoi sa vijon:

(…) nëse thirret kodi i palës së tretë në çdo moment të transferimit (që manifestohet për shkak të përbërjes së protokolleve), kodi mund të rihyjë në UniversalRouter dhe të pretendojë çdo shenjë përkohësisht në kontratë (…). Sulmuesi gjithashtu duhet të implementojë kodin për të rihyrë në ruter (duke ekzekutuar thirrjen) dhe për të fshirë të gjitha shumat e shenjave. Ruteri mund të përmbajë fonde në mes të transaksionit për shkak të veprimeve dhe transfertave të tjera në një shkëmbim kompleks.

Ruteri Universal mban fondet e dërguesit ndërsa transaksioni është përfunduar. Ndërsa kjo ndodhi, fondet ishin të cenueshme dhe një aktor i keq mund t'i shteronte ato duke thirrur komanda specifike si "dërgimi" me ".TRANSFER" ose. ". FSHËRIJ."

Dobësia mund të kishte lejuar një aktor të keq të "rihynte" në një transaksion duke përdorur këtë komandë. Pasi brenda, sulmuesi mund të kishte qenë në gjendje të "kullonte të gjithë shumën" nga portofoli i dërguesit. 

Firma e sigurisë shtoi sa vijon për "skenarët e pafund" ku dobësia mund të ishte shfrytëzuar:

Nëse kodi i pabesueshëm thirret në çdo moment të transferimit, kodi mund të rihyjë në UniversalRouter dhe të kërkojë çdo shenjë tashmë në kontratën UniversalRouter. Shenja të tilla mund të ekzistojnë, për shembull, sepse përdoruesi synon të blejë më vonë një NFT, ose të transferojë argumente te një marrës i dytë, ose sepse përdoruesi ndërron një sasi më të madhe se sa duhet dhe synon të "fshijë" pjesën e mbetur për vete në fund të thirrjen UniversalRouter. Dhe nuk mungojnë skenarët në të cilët mund të thirret një marrës i pabesueshëm (…).

Ethereum DEX jep 3 milion dollarë në bug Bounty

Në dhjetor 2022, Uniswap lançoi Routerin Universal si pjesë e përputhshmërisë së tyre të re NFT. Në atë kohë, Uniswap Labs njoftoi një program shpërblimi prej 3 milionë dollarësh. Dedaub-it iu dha kjo shumë për raportin e tyre të gabimeve në komponentin e ri.

Firma festoi shpërblimin dhe faktin që një aktor i keq nuk e shfrytëzoi kurrë dobësinë. Për më tepër, firma e sigurisë ishte "i vetmi raport i gabimeve mbi të cilin ka vepruar Uniswap". 

2022 ishte një vit i mundimshëm për asetet e kriptove dhe rrezikut, ndërkohë që forcat makroekonomike luajtën kundër sektorit të sapolindur. Përdoruesit përjetuan pengesa përtej rënies së çmimeve pasi hakerat dhe aktorët e këqij morën miliarda nga industria. 

Të dhënat nga pretendon firma analitike në zinxhir Chainalysis se aktorët e këqij kanë marrë mbi 26 miliardë dollarë në kriptovaluta vetëm nga viti 2017 deri në vitin 2021. Mbetet për t'u parë nëse viti 2023 do ta zgjasë apo zbusë këtë trend. 

Deri në momentin e shkrimit, çmimi i UNI tregtohet me 5.70 dollarë me lëvizje anash në grafikun ditor.