Ova sigurnosna firma je spasila Uniswap od ranjivosti

Sigurnosna firma Dedaub otkrili i otkrio kritičnu ranjivost na popularnoj Ethereum decentralizovanoj berzi Uniswap. Tim koji stoji iza protokola je ispravio grešku, a zahvaćene komponente su uspješno ponovo raspoređene - inače bi napadač mogao ublažiti transakcije kako bi ukrao korisnikova sredstva. 

Uniswap izbjegava opasnost i popravlja nove funkcije

Prema sigurnosnoj firmi, ranjivost je nenamjerno implementirana sa Universal Routerom. Ova komponenta omogućava korisnicima Uniswap-a da razmjenjuju ERC-20 tokene i tokene koji se ne mogu zamijeniti “u jedan swap ruter”.

Drugim riječima, Uniswap korisnici mogu optimizirati svoje operacije i trgovati više tokena i NFT-ova u jednoj transakciji, štedeći vrijeme i novac. Ova nova komponenta takođe omogućava korisnicima da prenose sredstva trećim licima. 

Kada je ranjivost postavljena, korisnik je mogao poslati transakciju trećoj strani, a ova je mogla dobiti pristup sredstvima pošiljaoca. Dedaub je objasnio sljedeće:

(…) ako se kod treće strane pozove u bilo kojoj tački prijenosa (što se manifestira zbog sastava protokola), kod može ponovo ući u UniversalRouter i zatražiti bilo koje tokene privremeno u ugovoru (…). Napadač takođe treba da implementira kod za ponovni ulazak u ruter (pozivanje execute) i brisanje svih količina tokena. Ruter može sadržavati sredstva usred transakcije zbog drugih radnji i transfera u složenoj zamjeni.

Univerzalni ruter drži sredstva pošiljaoca dok je transakcija završena. Dok se to dešavalo, sredstva su bila ranjiva, a loš akter ih je mogao isprazniti pozivanjem određenih komandi kao što je “dispatch” sa “.TRANSFER” ili. “.SWEEP.”

Ranjivost je mogla dozvoliti lošem akteru da "ponovno uđe" u transakciju koristeći ovu naredbu. Kada je ušao, napadač je mogao biti u mogućnosti da "iscijedi cijeli iznos" iz novčanika pošiljaoca. 

Sigurnosna firma je dodala sljedeće o "beskrajnim scenarijima" u kojima je ranjivost mogla biti iskorištena:

Ako se nepouzdani kod pozove u bilo kojem trenutku prijenosa, kod može ponovo ući u UniversalRouter i zatražiti sve tokene koji su već u UniversalRouter ugovoru. Takvi tokeni mogu, na primjer, postojati zato što korisnik namjerava kasnije kupiti NFT, ili prenijeti tokene drugom primaocu, ili zato što korisnik zamijeni veću količinu nego što je potrebno i namjerava "pomesti" ostatak sebi na kraju poziv UniversalRouter. I ne nedostaje scenarija u kojima se može pozvati nepouzdani primalac (...).

Ethereum DEX daje 3 miliona dolara nagrade za greške

U decembru 2022. godine, Uniswap je lansirao Universal Router kao dio njihove nove NFT kompatibilnosti. U to vrijeme, Uniswap Labs je najavio program nagrade od 3 miliona dolara. Dedaubu je odobren ovaj iznos za njihov izvještaj o greškama na novoj komponenti.

Firma je slavila nagradu i činjenicu da loš glumac nikada nije iskoristio ranjivost. Osim toga, sigurnosna firma je bila “jedini izvještaj o greškama na koji je Uniswap djelovao”. 

2022. je bila problematična godina za kripto i rizična sredstva, dok su makroekonomske sile igrale protiv sektora u nastajanju. Korisnici su iskusili prepreke osim pada cijena jer su hakeri i loši akteri uzeli milijarde od industrije. 

Podaci iz On-chain analitička firma Chainalysis tvrdi da su loši glumci samo od 26. do 2017. primili preko 2021 milijardi dolara u kriptovaluti. Ostaje da se vidi da li će 2023. produžiti ili ublažiti ovaj trend. 

Od ovog pisanja, UNI-jeva cijena se trguje na 5.70 dolara sa bočnim kretanjem na dnevnom grafikonu.