Ez a biztonsági cég mentette meg az Uniswap sebezhetőségét

Dedaub biztonsági cég felfedezett és felfedte a népszerű Ethereum decentralizált Exchange Uniswap egy kritikus biztonsági rését. A protokoll mögött álló csapat kijavította a hibát, és az érintett komponenseket sikeresen újratelepítették – különben a támadó mérsékelhette volna a tranzakciókat, hogy ellopja a felhasználó pénzét. 

Az Uniswap elkerüli a veszélyeket és kijavítja az új funkciókat

A biztonsági cég szerint a sérülékenységet nem szándékosan vezették be az Universal Routerrel. Ez az összetevő lehetővé teszi az Uniswap felhasználók számára, hogy ERC-20 tokeneket és nem helyettesíthető tokeneket „egyetlen csereútválasztóba” cseréljenek.

Más szóval, az Uniswap felhasználók optimalizálhatják műveleteiket, és több tokennel és NFT-vel kereskedhetnek egyetlen tranzakcióban, így időt és pénzt takaríthatnak meg. Ez az új összetevő azt is lehetővé teszi a felhasználók számára, hogy pénzeszközöket utaljanak át harmadik feleknek. 

Amikor a sérülékenységet elhelyezték, a felhasználó elküldhetett egy tranzakciót egy harmadik félnek, és ez utóbbi hozzáférhetett volna a küldő pénzeszközeihez. Dedaub a következőket magyarázta:

(…) ha az átvitel bármely pontján harmadik fél kódját hívják meg (ami a protokollok összetétele miatt nyilvánul meg), a kód újra beléphet a UniversalRouterbe, és ideiglenesen igényelheti a szerződésben szereplő tokeneket (…). A támadónak kódot is végre kell hajtania, hogy újra belépjen az útválasztóba (meghívás végrehajtása), és az összes jogkivonat mennyiségét átsöpörje. Az útválasztó tartalmazhat pénzeszközöket a tranzakció közepén egy összetett csereügylet egyéb műveletei és átutalása miatt.

Az Univerzális Router a küldő pénzét tartja vissza, amíg a tranzakció befejeződik. Amíg ez megtörtént, az alapok sebezhetőek voltak, és egy rossz szereplő kimeríthette azokat, ha konkrét parancsokat hívott, mint például a „dispatch” egy „.TRANSFER” vagy „.TRANSFER” vagy. ".SÖPRÉS."

A sérülékenység lehetővé tehette egy rossz szereplő számára, hogy ezzel a paranccsal „újra belépjen” egy tranzakcióba. A bejutást követően a támadó képes lett volna „lemeríteni a teljes összeget” a küldő pénztárcájából. 

A biztonsági cég a következőket tette hozzá a „végtelen forgatókönyvekhez”, amelyekben a sérülékenységet kihasználhatták:

Ha az átvitel bármely pontján nem megbízható kódot hívnak meg, a kód újra beléphet a UniversalRouterbe, és igényt tarthat a UniversalRouter szerződésben már szereplő tokenekre. Ilyen tokenek például azért létezhetnek, mert a felhasználó később NFT-t kíván vásárolni, vagy a tokeneket egy második címzettnek kívánja átvinni, vagy mert a felhasználó a szükségesnél nagyobb összeget cserél, és a maradékot a program végén magának kívánja „söpörni”. a UniversalRouter hívást. És nincs hiány olyan forgatókönyvekből, amelyekben egy megbízhatatlan címzett is felhívható (…).

Az Ethereum DEX 3 millió dolláros hibadíjat ad

2022 decemberében az Uniswap piacra dobta az Univerzális Routert az új NFT-kompatibilitás részeként. Abban az időben az Uniswap Labs 3 millió dolláros jutalomprogramot jelentett be. Dedaub megkapta ezt az összeget az új komponens hibajelentéséért.

A cég ünnepelte a jutalmat és azt a tényt, hogy egy rossz színész soha nem használta ki a sebezhetőséget. Ezenkívül a biztonsági cég volt „az egyetlen hibajelentés, amelyre az Uniswap reagált”. 

2022 problémás év volt a kripto- és kockázati eszközök számára, miközben a makrogazdasági erők a születőben lévő szektor ellen játszottak. A felhasználók a csökkenő árakon túl akadályokat is tapasztaltak, amikor a hackerek és a rossz szereplők milliárdokat vittek el az iparágtól. 

Adatok a a láncon belüli elemző cég, a Chainalysis azt állítja hogy a rossz színészek csak 26 és 2017 között több mint 2021 milliárd dollárt kaptak kriptovalutában. Ki kell deríteni, hogy 2023 kiterjeszti-e vagy enyhíti-e ezt a tendenciát. 

Jelen pillanatban az UNI árfolyama 5.70 dolláron forog, oldalirányú mozgással a napi grafikonon.