Uniswap Diselamatkan Daripada Keterdedahan Oleh Firma Keselamatan Ini

Firma keselamatan Dedaub ditemui dan mendedahkan kelemahan kritikal pada pertukaran terdesentralisasi Ethereum yang popular Uniswap. Pasukan di sebalik protokol membetulkan pepijat dan komponen yang terjejas telah berjaya diatur semula—jika tidak, penyerang boleh mengganggu transaksi untuk mencuri dana pengguna. 

Uniswap Mengelak Bahaya Dan Membetulkan Ciri Baharu

Menurut firma keselamatan itu, kelemahan itu telah dilaksanakan secara tidak sengaja dengan Penghala Universal. Komponen ini membenarkan pengguna Uniswap untuk memperdagangkan token ERC-20 dan token tidak boleh fungi "ke dalam penghala swap tunggal."

Dengan kata lain, pengguna Uniswap boleh mengoptimumkan operasi mereka dan berdagang berbilang token dan NFT dalam satu transaksi, menjimatkan masa dan wang. Komponen baharu ini juga membolehkan pengguna memindahkan dana kepada pihak ketiga. 

Apabila kelemahan itu diletakkan, pengguna boleh menghantar urus niaga kepada pihak ketiga, dan pengguna boleh mendapat akses kepada dana pengirim. Dedaub menjelaskan perkara berikut:

(…) jika kod pihak ketiga digunakan pada bila-bila masa dalam pemindahan (yang menunjukkan dirinya disebabkan oleh komposisi protokol), kod itu boleh memasuki semula UniversalRouter dan menuntut sebarang token buat sementara waktu dalam kontrak (…). Penyerang juga perlu melaksanakan kod untuk memasuki semula penghala (panggilan laksana) dan menyapu semua jumlah token. Penghala mungkin mengandungi dana pertengahan transaksi disebabkan oleh tindakan lain dan pemindahan dalam pertukaran yang kompleks.

Penghala Universal memegang dana pengirim semasa transaksi selesai. Semasa ini berlaku, dana terdedah, dan pelakon yang tidak baik boleh mengurasnya dengan memanggil arahan tertentu seperti "penghantaran" dengan ".TRANSFER" atau. “.SAPU.”

Kerentanan itu boleh membenarkan pelakon jahat "memasuki semula" transaksi menggunakan arahan ini. Sebaik sahaja di dalam, penyerang mungkin dapat "mengalirkan keseluruhan jumlah" dari dompet pengirim. 

Firma keselamatan itu menambah perkara berikut pada "senario tidak berkesudahan" di mana kelemahan itu boleh dieksploitasi:

Jika kod yang tidak dipercayai digunakan pada bila-bila masa dalam pemindahan, kod itu boleh memasuki semula UniversalRouter dan menuntut sebarang token yang sudah ada dalam kontrak UniversalRouter. Token sedemikian boleh, sebagai contoh, wujud kerana pengguna berhasrat untuk membeli NFT kemudian, atau memindahkan token kepada penerima kedua, atau kerana pengguna menukar jumlah yang lebih besar daripada yang diperlukan dan berhasrat untuk "menyapu" baki kepada diri mereka sendiri pada penghujung panggilan UniversalRouter. Dan tidak ada kekurangan senario di mana penerima yang tidak dipercayai boleh dipanggil (…).

Ethereum DEX Memberi Hadiah Pepijat $3 Juta

Pada Disember 2022, Uniswap melancarkan Penghala Universal sebagai sebahagian daripada keserasian NFT baharu mereka. Pada masa itu, Uniswap Labs mengumumkan program hadiah bernilai $3 juta. Dedaub telah diberikan jumlah ini untuk laporan pepijat mereka pada komponen baharu.

Firma itu meraikan ganjaran dan hakikat bahawa seorang pelakon jahat tidak pernah mengeksploitasi kelemahan itu. Di samping itu, firma keselamatan itu adalah "satu-satunya laporan pepijat yang Uniswap bertindak." 

2022 merupakan tahun yang menyusahkan untuk aset kripto dan risiko, manakala kuasa makroekonomi bermain menentang sektor yang baru muncul. Pengguna mengalami halangan melangkaui penurunan harga kerana penggodam dan pelakon jahat mengambil berbilion-bilion daripada industri. 

Data daripada firma analisis rantaian tuntutan Chainalysis bahawa pelakon jahat telah menerima lebih $26 bilion dalam mata wang kripto dari 2017 hingga 2021 sahaja. Ia masih dapat dilihat sama ada 2023 akan melanjutkan atau mengurangkan aliran ini. 

Sehingga berita ini ditulis, harga UNI didagangkan pada $5.70 dengan pergerakan sisi pada carta harian.