Ang Uniswap ay Nai-save Mula sa Kahinaan Ng Security Firm na Ito

Security firm na Dedaub Natuklasan at isiniwalat ang isang kritikal na kahinaan sa sikat na Ethereum decentralized exchange Uniswap. Inayos ng team sa likod ng protocol ang bug, at matagumpay na na-redeploy ang mga apektadong bahagi—kung hindi, maaaring nakipaglaban ang isang attacker sa mga transaksyon para nakawin ang mga pondo ng user. 

Iniiwasan ng Uniswap ang Panganib At Inaayos ang Mga Bagong Feature

Ayon sa security firm, ang kahinaan ay hindi sinasadyang ipinatupad sa Universal Router. Nagbibigay-daan ang component na ito sa mga user ng Uniswap na i-trade ang ERC-20 token at non-fungible token “sa isang solong swap router.”

Sa madaling salita, ang mga user ng Uniswap ay maaaring mag-optimize ng kanilang mga operasyon at mag-trade ng maraming token at NFT sa isang transaksyon, makatipid ng oras at pera. Ang bagong component na ito ay nagpapahintulot din sa mga user na maglipat ng mga pondo sa mga third party. 

Kapag ang kahinaan ay inilagay, ang isang user ay maaaring magpadala ng isang transaksyon sa isang ikatlong partido, at ang huli ay maaaring magkaroon ng access sa mga pondo ng nagpadala. Ipinaliwanag ni Dedaub ang sumusunod:

(…) kung ang third-party na code ay na-invoke sa anumang punto ng paglilipat (na nagpapakita ng sarili dahil sa komposisyon ng mga protocol), ang code ay maaaring muling pumasok sa UniversalRouter at mag-claim ng anumang mga token pansamantalang nasa kontrata (...). Kailangan ding ipatupad ng attacker ang code para muling makapasok sa router (calling execute) at i-sweep ang lahat ng halaga ng token. Ang router ay maaaring maglaman ng mga pondo sa kalagitnaan ng transaksyon dahil sa iba pang mga aksyon at paglilipat sa isang kumplikadong swap.

Hawak ng Universal Router ang mga pondo ng nagpadala habang nakumpleto ang transaksyon. Habang nangyari ito, mahina ang mga pondo, at maaaring maubos ng masamang aktor ang mga ito sa pamamagitan ng pagtawag sa mga partikular na command gaya ng "dispatch" na may ".TRANSFER" o. “.WALIWAN.”

Ang kahinaan ay maaaring nagbigay-daan sa isang masamang aktor na "muling pumasok" sa isang transaksyon gamit ang command na ito. Kapag nasa loob na, ang umaatake ay maaaring "maubos ang buong halaga" mula sa wallet ng nagpadala. 

Idinagdag ng security firm ang sumusunod sa "walang katapusang mga sitwasyon" kung saan maaaring pinagsamantalahan ang kahinaan:

Kung ang hindi pinagkakatiwalaang code ay ginagamit sa anumang punto ng paglilipat, ang code ay maaaring muling pumasok sa UniversalRouter at mag-claim ng anumang mga token na nasa kontrata ng UniversalRouter. Ang ganitong mga token ay maaaring, halimbawa, ay umiral dahil ang user ay nagnanais na bumili ng NFT sa ibang pagkakataon, o maglipat ng mga token sa pangalawang tatanggap, o dahil ang user ay nagpapalitan ng mas malaking halaga kaysa sa kinakailangan at nilayon na "walisin" ang natitira sa kanilang sarili sa pagtatapos ng ang UniversalRouter na tawag. At walang kakulangan ng mga sitwasyon kung saan maaaring tawagin ang isang hindi pinagkakatiwalaang tatanggap (…).

Ang Ethereum DEX ay Nagbibigay ng $3 Milyon Sa Bug Bounty

Noong Disyembre 2022, inilunsad ng Uniswap ang Universal Router bilang bahagi ng kanilang bagong NFT compatibility. Sa oras na iyon, nag-anunsyo ang Uniswap Labs ng $3 milyon na bounty program. Binigyan si Dedaub ng halagang ito para sa kanilang ulat sa bug sa bagong bahagi.

Ipinagdiwang ng kompanya ang gantimpala at ang katotohanan na ang isang masamang aktor ay hindi kailanman pinagsamantalahan ang kahinaan. Bilang karagdagan, ang security firm ay "ang tanging ulat ng bug na ginawa ng Uniswap." 

Ang 2022 ay isang mahirap na taon para sa crypto at risk-on na mga asset, habang ang mga puwersang macroeconomic ay naglaro laban sa nascent na sektor. Nakaranas ang mga user ng mga hadlang lampas sa pagbaba ng mga presyo dahil bilyun-bilyon ang kinuha ng mga hacker at masasamang aktor mula sa industriya. 

data mula sa Ang on-chain analytics firm na Chainalysis ay nag-claim na ang mga masasamang aktor ay nakatanggap ng mahigit $26 bilyon sa cryptocurrency mula 2017 hanggang 2021 lamang. Ito ay nananatiling upang makita kung 2023 ay pahabain o pagaanin ang trend na ito. 

Sa pagsulat na ito, ang presyo ng UNI ay nakikipagkalakalan sa $5.70 na may patagilid na paggalaw sa pang-araw-araw na tsart.