Uniswap 被這家安全公司從漏洞中拯救出來

安全公司 Dedaub 發現 並披露了流行的以太坊去中心化交易所 Uniswap 的一個嚴重漏洞。 協議背後的團隊修復了這個錯誤，受影響的組件被成功地重新部署——否則，攻擊者可能會通過交易來竊取用戶的資金。 

Uniswap 避免危險並修復新功能

據該安全公司稱，該漏洞是無意中通過通用路由器實現的。 該組件允許 Uniswap 用戶將 ERC-20 代幣和不可替代代幣“放入單個交換路由器”進行交易。

換句話說，Uniswap 用戶可以優化他們的操作並在單筆交易中交易多個代幣和 NFT，從而節省時間和金錢。 這個新組件還允許用戶將資金轉移給第三方。 

當漏洞就位時，用戶可以向第三方發送交易，而後者可能已經獲得了對發送者資金的訪問權限。 Dedaub 解釋如下：

(...) 如果在傳輸過程中的任何時候調用第三方代碼（由於協議的組合而表現出來），該代碼可以重新進入 UniversalRouter 並在合約中臨時聲明任何令牌（...）。 攻擊者還需要實現代碼重新進入路由器（調用執行）並清除所有令牌數量。 由於復雜交換中的其他操作和轉移，路由器可能包含交易中間的資金。

通用路由器在交易完成時持有發送方的資金。 發生這種情況時，資金很脆弱，壞人可以通過調用特定命令（例如帶有“.TRANSFER”的“調度”或。 “。掃。”

該漏洞可能允許不良行為者使用此命令“重新輸入”交易。 一旦進入，攻擊者就可以從發件人的錢包中“耗盡全部金額”。 

該安全公司在漏洞可能被利用的“無盡場景”中添加了以下內容：

如果在傳輸過程中的任何時候調用不受信任的代碼，該代碼可以重新進入 UniversalRouter 並聲明 UniversalRouter 合約中已有的任何令牌。 例如，此類代幣的存在可能是因為用戶打算稍後購買 NFT，或將代幣轉移給第二個接收者，或者因為用戶交換的金額比需要的多，並打算在交易結束時將剩餘部分“掃除”給自己。 UniversalRouter 調用。 並且不乏可能調用不受信任的收件人的場景 (...)。

以太坊 DEX 提供 3 萬美元的漏洞賞金

2022 年 3 月，Uniswap 推出了通用路由器，作為其新的 NFT 兼容性的一部分。 當時，Uniswap Labs 宣布了一項 XNUMX 萬美元的賞金計劃。 Dedaub 因其在新組件上的錯誤報告而獲得此金額。

該公司慶祝獎勵以及壞人從未利用漏洞這一事實。 此外，這家安全公司是“Uniswap 採取行動的唯一錯誤報告”。 

2022 年對於加密貨幣和風險資產來說是麻煩不斷的一年，而宏觀經濟力量對新興行業不利。 由於黑客和不良行為者從該行業竊取了數十億美元，用戶經歷了價格下跌以外的障礙。 

從數據 鏈上分析公司 Chainalysis 聲稱 僅從 26 年到 2017 年，不良行為者就獲得了超過 2021 億美元的加密貨幣。 2023 年是否會擴大或減緩這一趨勢還有待觀察。 

在撰寫本文時，UNI 的價格為 5.70 美元，在日線圖上橫向移動。