უსაფრთხოების ფირმა Dedaub აღმოაჩინეს და გამოავლინა კრიტიკული დაუცველობა პოპულარულ Ethereum-ის დეცენტრალიზებულ ბირჟაზე Uniswap-ზე. პროტოკოლის მიღმა მყოფმა გუნდმა გამოასწორა შეცდომა და დაზარალებული კომპონენტები წარმატებით განლაგდა - წინააღმდეგ შემთხვევაში, თავდამსხმელს შეეძლო შეემცირებინა ტრანზაქციები მომხმარებლის სახსრების მოპარვის მიზნით.
Uniswap თავიდან აიცილებს საფრთხეს და ასწორებს ახალ ფუნქციებს
უსაფრთხოების ფირმის თქმით, დაუცველობა უნებლიედ განხორციელდა უნივერსალური როუტერით. ეს კომპონენტი Uniswap-ის მომხმარებლებს საშუალებას აძლევს, გადაცვალონ ERC-20 ტოკენები და შეუცვლელი ტოკენები „ერთ სვოპ როუტერში“.
სხვა სიტყვებით რომ ვთქვათ, Uniswap-ის მომხმარებლებს შეუძლიათ თავიანთი ოპერაციების ოპტიმიზაცია და რამდენიმე ტოკენითა და NFT-ებით ვაჭრობა ერთ ტრანზაქციაში, რაც დაზოგავს დროსა და ფულს. ეს ახალი კომპონენტი ასევე საშუალებას აძლევს მომხმარებლებს გადარიცხონ სახსრები მესამე პირებზე.
როდესაც დაუცველობა დაფიქსირდა, მომხმარებელს შეეძლო ტრანზაქციის გაგზავნა მესამე მხარეს და ამ უკანასკნელს შეეძლო მიეღო წვდომა გამგზავნის სახსრებზე. დედაუბმა განმარტა შემდეგი:
(...) თუ მესამე მხარის კოდი გამოძახებულია გადაცემის ნებისმიერ მომენტში (რაც ვლინდება პროტოკოლების შემადგენლობის გამო), კოდს შეუძლია ხელახლა შევიდეს UniversalRouter-ში და მოითხოვოს ნებისმიერი ჟეტონები დროებით ხელშეკრულებაში (...). თავდამსხმელს ასევე სჭირდება კოდის დანერგვა როუტერში ხელახლა შესაყვანად (გამოძახების შესრულება) და ყველა სიმბოლური თანხის გადასატანად. როუტერი შეიძლება შეიცავდეს სახსრებს ტრანზაქციის შუა რიცხვებში სხვა ქმედებებისა და გადარიცხვების გამო კომპლექსური სვოპით.
უნივერსალური როუტერი ინახავს გამგზავნის ფულს ტრანზაქციის დასრულებისას. მიუხედავად იმისა, რომ ეს ხდებოდა, თანხები დაუცველი იყო და ცუდ მსახიობს შეეძლო მათი ამოწურვა კონკრეტული ბრძანებების გამოძახებით, როგორიცაა „გაგზავნა“ „.TRANSFER“ ან. ". SWEEP."
დაუცველობამ შესაძლოა ცუდ მსახიობს ამ ბრძანების გამოყენებით ტრანზაქციაში „ხელახლა შესვლა“ მისცა. შიგნით შესვლის შემდეგ, თავდამსხმელს შეეძლო გამგზავნის საფულედან „მთელი თანხის ამოღება“.
უსაფრთხოების ფირმამ დაამატა შემდეგი „გაუთავებელ სცენარებზე“, სადაც დაუცველობის გამოყენება შეიძლებოდა:
თუ არასანდო კოდი გამოიძახება გადაცემის ნებისმიერ მომენტში, კოდს შეუძლია ხელახლა შევიდეს UniversalRouter-ში და მოითხოვოს ნებისმიერი ტოკენი, რომელიც უკვე არის UniversalRouter-ის კონტრაქტში. ასეთი ნიშნები შეიძლება არსებობდეს, მაგალითად, იმიტომ, რომ მომხმარებელი აპირებს მოგვიანებით იყიდოს NFT, ან გადასცეს ტოკენები მეორე მიმღებს, ან იმიტომ, რომ მომხმარებელი ცვლის საჭიროზე დიდ რაოდენობას და აპირებს დარჩენილი ნაწილის „გადატანას“ თავისთვის ბოლოს. UniversalRouter ზარი. და არ არის დეფიციტური სცენარები, რომლებშიც შეიძლება გამოიძახონ არასანდო მიმღები (...).
Ethereum DEX-ს 3 მილიონი დოლარის გაცემა Bug Bounty-ში
2022 წლის დეკემბერში Uniswap-მა გამოუშვა უნივერსალური როუტერი, როგორც მათი ახალი NFT თავსებადობის ნაწილი. იმ დროს Uniswap Labs-მა გამოაცხადა 3 მილიონი დოლარის ბონუს პროგრამა. დედაუბს მიენიჭა ეს თანხა ახალ კომპონენტზე შეცდომის ანგარიშისთვის.
ფირმა აღნიშნავს ჯილდოს და იმ ფაქტს, რომ ცუდმა მსახიობმა არასოდეს გამოიყენა დაუცველობა. გარდა ამისა, უსაფრთხოების ფირმა იყო „ერთადერთი შეცდომის ანგარიში, რომელზეც Uniswap-მა იმოქმედა“.
2022 წელი პრობლემური წელი იყო კრიპტო და რისკის შემცველი აქტივებისთვის, მაშინ როცა მაკროეკონომიკური ძალები ახალშობილ სექტორს ეწინააღმდეგებოდნენ. მომხმარებლები განიცდიდნენ დაბრკოლებებს ფასების დაკლების მიღმა, რადგან ჰაკერებმა და ცუდმა მსახიობებმა ინდუსტრიიდან მილიარდები წაიღეს.
მონაცემები დან ჯაჭვზე ანალიტიკური ფირმა Chainalysis ამტკიცებს რომ ცუდმა მსახიობებმა მიიღეს 26 მილიარდ დოლარზე მეტი კრიპტოვალუტა მხოლოდ 2017 წლიდან 2021 წლამდე. ჯერ კიდევ გასარკვევია, გაახანგრძლივებს თუ შეამსუბუქებს ამ ტენდენციას 2023 წელი.
ამ სტატიის დაწერის მომენტისთვის, UNI-ს ფასი 5.70 დოლარად იყიდება, გვერდითი მოძრაობით ყოველდღიურ გრაფიკზე.
წყარო: https://newsbtc.com/news/uniswap/uniswap-saved-vulnerability-security-firm/