Исследователь безопасности обнаружил изъян в смарт-контракте голландского аукциона, который мог привести к потере 109 000 ETH.
Децентрализованная биржа SushiSwap едва избежала того, чтобы стать последней жертвой взлома DeFi, благодаря помощи хакера в белой шляпе.
Исследователь безопасности из венчурной фирмы Paradigm, известный в Twitter под ником «samczsun», сумел спасти SushiSwap и ее платформу MISO от потенциальной потери 109 000 ETH.
В своем блоге, опубликованном 17 августа, программист описал, как он начал изучать код смарт-контракта для продажи токенов BitDAO на платформе MISO, принадлежащей SushiSwap.
«Хотя я не ожидал, что это будет уязвимым местом, поскольку я не ожидал, что команда «Суши» сделает такой очевидный промах»
При более глубоком исследовании «белая шляпа» обнаружил уязвимость, которая, если ее использовать, может привести к тому, что все криптоактивы в контракте аукциона токенов будут слиты злоумышленником. Злоумышленник мог использовать одни и те же ETH снова и снова, чтобы выполнить несколько обращений к контракту и «участвовать в аукционе бесплатно».
Самчун проверил уязвимость с помощью успешного эксплойта, после чего обратился к коллегам Георгиосу Константопулосу и Дэну Робинсону, чтобы они посмотрели и перепроверили полученные данные. Он также обнаружил, что хакер может украсть средства из контракта, вызвав возврат средств путем отправки большего количества ETH, чем жесткий лимит аукциона.
“Внезапно моя маленькая уязвимость стала намного больше. Я имел дело не с ошибкой, которая позволит вам перебить ставки других участников. Я имел дело с ошибкой стоимостью 350 миллионов долларов”
Тогда пришло время связаться с техническим директором SushiSwap Джозефом Делонгом, чтобы разработать план спасения до того, как эксплойт будет обнаружен в природе. Было решено, что команда BitDAO, проводившая продажу токенов, вручную завершит аукцион, выкупив оставшееся распределение, немедленно завершит процесс и спасет средства.
Компания SushiSwap отметила, что в процессе спасения средств не было потеряно, добавив, что приостановит использование своего голландского формата аукциона MISO до тех пор, пока не будет обновлен смарт-контракт. Член криптосообщества «DC Investor» прокомментировал:
«Все знают, что у Paradigm большие пакеты UNI / Uniswap, но Сэм из их команды только что помог спасти SushiSwap (мнимого конкурента) от критической ошибки. Такова этика пространства среди лучших участников»
Marcus Aurelius
Комментировать