Uniswap päästis haavatavusest see turvafirma

Turvafirma Dedaub avastasin ja avalikustas populaarse Ethereumi detsentraliseeritud börsi Uniswap kriitilise haavatavuse. Protokolli taga olev meeskond parandas vea ja mõjutatud komponendid paigutati edukalt ümber – vastasel juhul oleks ründaja võinud teha kasutaja raha varastamise tehinguid. 

Uniswap väldib ohtu ja parandab uusi funktsioone

Turvafirma sõnul rakendati haavatavus universaalse ruuteriga tahtmatult. See komponent võimaldab Uniswapi kasutajatel vahetada ERC-20 märke ja mittevahetatavaid märke "üheks vahetusruuteriks".

Teisisõnu saavad Uniswapi kasutajad optimeerida oma toiminguid ja kaubelda ühe tehinguga mitme žetooniga ja NFT-ga, säästes aega ja raha. See uus komponent võimaldab kasutajatel ka raha üle kanda kolmandatele osapooltele. 

Kui haavatavus oli paigaldatud, võis kasutaja saata tehingu kolmandale osapoolele ja viimane oleks võinud saada juurdepääsu saatja rahadele. Dedaub selgitas järgmist:

(…) kui edastuse mis tahes punktis kutsutakse välja kolmanda osapoole kood (mis väljendub protokollide koostamise tõttu), saab kood uuesti UniversalRouterisse siseneda ja taotleda ajutiselt lepingus olevaid lubasid (…). Ründaja peab juurutama ka koodi, et ruuterisse uuesti siseneda (väljakutse käivitada) ja kõik märgisummad pühkida. Ruuter võib keerulise vahetustehingu muude toimingute ja ülekannete tõttu sisaldada rahalisi vahendeid tehingu keskel.

Universaalne ruuter hoiab saatja raha tehingu lõpetamise ajal. Sel ajal, kui see juhtus, olid rahalised vahendid haavatavad ja halb näitleja võis need tühjaks teha, kutsudes konkreetseid käske, nagu "saatmine" ja ".TRANSFER" või. ".PÜHKIMA."

Haavatavus oleks võinud lubada halval tegutsejal seda käsku kasutades tehingusse uuesti siseneda. Kui ründaja on sisenenud, oleks võinud saatja rahakotist kogu summa välja tõmmata. 

Turvafirma lisas "lõpututele stsenaariumidele", kus haavatavust oleks võinud ära kasutada, järgmise:

Kui edastuse mis tahes punktis kutsutakse välja ebausaldusväärne kood, saab kood uuesti UniversalRouterisse siseneda ja taotleda kõiki UniversalRouteri lepingus juba olevaid žetoone. Sellised märgid võivad esineda näiteks seetõttu, et kasutaja kavatseb hiljem NFT-d osta või tokeneid teisele adressaadile üle kanda või kuna kasutaja vahetab suurema summa kui vaja ja kavatseb ülejäänud osa enda kätte pühkida. UniversalRouteri kõne. Ja stsenaariumidest, mille puhul võidakse helistada ebausaldusväärsele adressaadile, pole puudust (…).

Ethereum DEX annab 3 miljonit dollarit vearaha

2022. aasta detsembris tõi Uniswap oma uue NFT-ühilduvuse osana turule universaalse ruuteri. Sel ajal kuulutas Uniswap Labs välja 3 miljoni dollari suuruse boonusprogrammi. Dedaubile anti see summa uue komponendi veaaruande eest.

Firma tähistas tasu ja seda, et halb näitleja ei kasutanud kunagi haavatavust ära. Lisaks oli turvafirma "ainus veateade, mille põhjal Uniswap tegutses". 

2022. aasta oli krüpto- ja riskivarade jaoks tülikas, samal ajal kui makromajanduslikud jõud mängisid tärkava sektori vastu. Kasutajad kogesid tõkkeid peale hindade languse, kuna häkkerid ja halvad tegijad võtsid tööstuselt miljardeid. 

Andmed alates ahelas olev analüütikafirma Chainalysis väidab et halvad näitlejad on saanud ainuüksi aastatel 26–2017 krüptoraha üle 2021 miljardi dollari. Jääb näha, kas 2023. aasta pikendab või leevendab seda suundumust. 

Selle kirjutamise seisuga kaupleb UNI hind 5.70 dollaril koos külgsuunalise liikumisega päevagraafikus.