SushiSwap suferă o pierdere de 3,3 milioane de dolari în urma unui atac

SushiSwap, o platformă de tranzacționare descentralizată populară, a suferit un atac care a dus la pierderea a peste 3,3 milioane de dolari pentru cel puțin un utilizator, identificat ca 0xSifu pe Twitter.

Exploatarea provine dintr-un bug legat de aprobare în contractul RouterProcessor2, iar atât PeckShield, cât și șeful SushiSwap, Jared Grey, au sfătuit utilizatorii să revoce contractul pe toate lanțurile.

Cauza principală a exploatării, identificată de compania de securitate cibernetică Ancilia, Inc., este o eroare în funcția internă swap() a contractului SushiSwap. Când este executată, această funcție apelează funcția swapUniV3(), care setează variabila „lastCalledPool” în slotul de stocare 0x00. Ca urmare, verificarea permisiunilor este ocolită în funcția ulterioară swap3callback.

Această eroare în mecanismul de „aprobare” permite părților neautorizate să pună mâna pe tokenurile utilizatorilor fără a obține aprobarea necesară, un proces denumit informal „yoinking”.

Potrivit lui Brad Kay, analist de cercetare la The Block, un atacator a exploatat prima dată funcția „yoink” și a furat 100 ETH și a fost probabil un white hacker. Ulterior, un alt hacker a reușit să fure aproximativ 1800 ETH folosind același contract, dar folosind o funcție numită „notyoink”.

În ciuda pierderilor semnificative, rapoartele inițiale sugerează că numai un număr limitat de utilizatori SushiSwap sunt în pericol.

@0xngmi de la DeFi Llama susține că doar persoanele care au tranzacționat pe SushiSwap în ultimele patru zile ar putea să fie afectați. Platforma a publicat o listă de contracte pe toate lanțurile care ar trebui revocate și a creat o modalitate pentru a verifica dacă au fost afectate adresele utilizatorilor.

Kevin Peng, un alt analist de cercetare la The Block, estimează că 190 de adrese Ethereum și peste 2000 de adrese Arbitrum Layer 2 au aprobat contractul problematic.

În ciuda exploatării, prețul tokenului de guvernanță Sushi a înregistrat doar o scădere ușoară de 0,6% într-o oră de la momentul în care știrea a devenit publică.

În urma exploatării, Grey, care caută și un fond de apărare legală de 3 milioane de dolari de la Sushi DAO după ce platforma a fost primit o citație de la Comisia pentru Bursă și Valori Mobiliare (SEC), a anunțat că SushiSwap „colaborează cu echipele de securitate pentru a remedia problema”.

Utilizatorii sunt îndemnați să urmeze sfaturile lui PeckShield și Gray pentru a-și proteja activele.