Жакында Dedaub командасы UniSwap келишимдеринде кээ бир колдонуучуларга коркунуч туудурган алсыздыкты ачып берди.
UniSwap чабалдыгы
Акыркы твиттеринде Dedaub алар UniSwap келишимдеринде мүчүлүштүктөрдү таап, алсыздык жөнүндө кабарлашканын ачыкка чыгарды. Пикир келип түшкөндө, "UniSwap бул маселени чечип, анын бардык чынжырларында Universal Router акылдуу келишимдерин кайра жайгаштырды."
ылайык Tweet by Dedaub, бул алсыздык колдонуучулардын акчасын кетире турган кайра кирүү чабуулдарына жол ачкан. Дедауб командасы чабуулчу/лар бул алсыздыкты кантип колдонорун түшүндүрүштү.
Бул алсыздыктын жаралышы ноябрь айына туура келет UniSwap өзүнүн универсалдуу роутерин сунуштады. Бул роутер NFT жана ERC-20 алмашууну бир своп роутерге бириктирет. Максаты колдонуучуларга бир транзакцияда бир нече NFT жана токендерди алмаштыруу сыяктуу бир нече аракеттерди жасоого жардам берүү болгон.
Туура колдонулганда, Universal Router буйруктары көрсөтүлгөн алуучуга көрсөтүлгөн сумманы жөнөтөт. Бирок, которуу учурунда үчүнчү тараптын коду чакырылса, ал роутерге кайра кирип, келишимде токендерди талап кыла алат. Бул, негизинен, Универсал роутер транзакциялар ортосундагы балансты кармагандыктан болот.
Proof-of-Concept-те Дедауб командасы чабуулчу баштапкы суммалар жөнөтүлгөндөн кийин калган бардык токендер үчүн SWEEP буйругун кошо аларын белгиледи. транзакциянын бир бөлүгү катары, алуучу бардык сумманы бат эле төгүп алмак.
Uniswap командасы тез аракеттенди
Дедаубтун командасы UniSwap командасына мындай чабуулдун ыктымалдыгы жөнүндө дароо кабарлады. Алар Uniswap командасына жайылтуудан мурун жаңы роутерлерине кайра кирүү кулпусун киргизүүнү сунушташты.
Uniswap келишимди кабыл алганга чейин керектүү оңдоолорду киргизип, маселени дароо чечти. Uniswap Dedaub менен сыйланган жеке адамдардын коопсуздугуна берилгендигин көрсөтүү үчүн $40 миң мүчүлүштүктөр үчүн сыйлык алышат. Бирок, Uniswap командасы көйгөйдү таасири жогору, бирок ыктымалдуулугу төмөн окуя катары баалады. Демек, бул өтө татаал сценарийлерде болушу мүмкүн.
The DEX протоколу UniSwap жалпысынан кайра кирүү чабуулдары менен тааныш. 2020-жылы DEX Lendf.me менен бирге жөнөкөй кайра кирүү чабуулунан 25 миллион доллар жоготкондугу жөнүндө кабарлар пайда болду. Тармак хакердик сыяктуу башка чабуулдарга да кабылган. 2022-жылдын июль айында хакерлер 8 миллион долларды басып алышкан ETH фишинг чабуулун колдонуу.
Булак: https://crypto.news/uniswap-universal-router-was-vulnerable-to-re-entrancy-attacks/