Uniswap je spasila ova sigurnosna tvrtka od ranjivosti

Zaštitarska tvrtka Dedaub otkrio i otkrio kritičnu ranjivost na popularnoj Ethereum decentraliziranoj burzi Uniswap. Tim koji stoji iza protokola popravio je pogrešku, a zahvaćene komponente uspješno su ponovno raspoređene—u protivnom bi napadač mogao ublažiti transakcije kako bi ukrao korisnikova sredstva. 

Uniswap izbjegava opasnosti i popravlja nove značajke

Prema sigurnosnoj tvrtki, ranjivost je nenamjerno implementirana s univerzalnim usmjerivačem. Ova komponenta omogućuje Uniswap korisnicima da trguju ERC-20 tokenima i nezamjenjivim tokenima "u jedan swap router."

Drugim riječima, korisnici Uniswap-a mogu optimizirati svoje operacije i trgovati s više tokena i NFT-ova u jednoj transakciji, štedeći vrijeme i novac. Ova nova komponenta također omogućuje korisnicima prijenos sredstava trećim stranama. 

Kada je ranjivost postavljena, korisnik je mogao poslati transakciju trećoj strani, a potonja je mogla dobiti pristup sredstvima pošiljatelja. Dedaub je objasnio sljedeće:

(…) ako se kod treće strane pozove u bilo kojem trenutku prijenosa (što se očituje zbog sastava protokola), kod može ponovno ući u UniversalRouter i zatražiti sve tokene privremeno u ugovoru (…). Napadač također treba implementirati kod za ponovni ulazak u usmjerivač (pozivanje izvršenja) i brisanje svih količina tokena. Usmjerivač može sadržavati sredstva usred transakcije zbog drugih radnji i prijenosa u složenoj zamjeni.

Univerzalni usmjerivač zadržava sredstva pošiljatelja dok je transakcija dovršena. Dok se to događalo, sredstva su bila ranjiva i loš ih je akter mogao iscrpiti pozivanjem određenih naredbi kao što je "otprema" s ".TRANSFER" ili. ".POMESTI."

Ranjivost je mogla dopustiti lošem akteru da "ponovno uđe" u transakciju pomoću ove naredbe. Kad je ušao unutra, napadač je mogao "iscijediti cijeli iznos" iz novčanika pošiljatelja. 

Sigurnosna tvrtka dodala je sljedeće o "beskonačnim scenarijima" u kojima se ranjivost mogla iskoristiti:

Ako se u bilo kojem trenutku prijenosa pozove nepouzdani kod, kod može ponovno ući u UniversalRouter i zatražiti sve tokene koji su već u ugovoru UniversalRouter. Takvi tokeni mogu, na primjer, postojati jer korisnik namjerava kasnije kupiti NFT ili prenijeti tokene drugom primatelju ili zato što korisnik zamijeni veći iznos od potrebnog i namjerava "pomesti" ostatak sebi na kraju poziv UniversalRouter. A nema manjka scenarija u kojima se može nazvati nepouzdani primatelj (…).

Ethereum DEX dodjeljuje 3 milijuna dolara nagrade za bugove

U prosincu 2022. Uniswap je lansirao Universal Router kao dio svoje nove NFT kompatibilnosti. U to je vrijeme Uniswap Labs najavio program nagrade od 3 milijuna dolara. Dedaub je dobio ovaj iznos za svoje izvješće o greškama na novoj komponenti.

Tvrtka je slavila nagradu i činjenicu da loš glumac nikada nije iskoristio ranjivost. Osim toga, zaštitarska tvrtka bila je "jedino izvješće o bugovima na koje je Uniswap djelovao." 

2022. bila je teška godina za kripto i rizičnu imovinu, dok su makroekonomske sile igrale protiv sektora u nastajanju. Korisnici su iskusili prepreke osim pada cijena jer su hakeri i loši akteri uzeli milijarde iz industrije. 

Podaci iz on-chain analitička tvrtka Chainalysis tvrdi da su loši akteri samo od 26. do 2017. primili više od 2021 milijardi dolara u kriptovaluti. Ostaje za vidjeti hoće li 2023. produžiti ili ublažiti ovaj trend. 

U trenutku pisanja ovog teksta, cijena UNI-ja se kreće na 5.70 dolara uz bočno kretanje na dnevnom grafikonu.