Tech

DeFi-revisor tjener $40,000 XNUMX for å identifisere Uniswap-sårbarhet

01/04/2023
Bitcoin Ethereum Nyheter

Uniswaps nylig lanserte bug bounty-program har ført til oppdagelsen av en nå fikset sårbarhet i protokollens Universal Router smart kontrakt.

Den automatiserte market maker utgitt to nye smarte kontrakter til sin plattform i november 2022. Permit2 lar token-godkjenninger deles og administreres på tvers av forskjellige applikasjoner, mens Universal Router forener ERC-20 og nonfungible tokens (NFT-er) som byttes til en enkelt swap-ruter.

Uniswap annonserte også et lukrativt bug-bounty-program for å identifisere potensielle sårbarheter i sine smarte kontrakter mot slutten av 2022, da det så ut til å sikre sikkerheten og effektiviteten til protokollen.

Bilde

Smart kontraktssikkerhets- og revisjonsfirmaet Dedaub kunngjorde at det hadde mottatt en bug-premie etter å ha flagget en sårbarhet i Universal Router-smartkontrakten som ville ha tillatt reentrance å tappe brukermidler midt i transaksjonen.

I følge Dedaubs sammenbrudd lar Universal Router brukere utføre forskjellige handlinger, inkludert bytte av flere tokens og NFT-er i en transaksjon.

Ruteren bygger inn et skriptspråk for en lang rekke token-handlinger, som kan inkludere overføringer til tredjepartsmottakere. Hvis riktig implementert, vil overføringer gå til mottakeren innenfor angitte parametere.

Relatert: Immunefi sier at det har lagt til rette for $66 millioner i feilbelønninger siden starten 

Imidlertid identifiserte Dedaub en sårbarhet der en tredjepartskode ble påkalt under overføringen, slik at koden kunne gå inn på Universal Router igjen og kreve eventuelle tokens som var midlertidig i kontrakten.

Dedaub foreslo deretter en enkel løsning, og rådet Uniswap-teamet til å legge til en reentrancy-lås til kjerneutførelsen av den nye ruteren. Uniswap tildelte revisjonsfirmaet totalt $40,000 33 for å flagge sårbarheten. Beløpet inkluderte en bonus på 2022 % for rapportering av problemet under Uniswaps bonusperiode i november XNUMX.

Uniswap klassifiserte problemet som middels alvorlig, mens videre vurdering anså sårbarheten til å ha høy innvirkning og lav sannsynlighet. I følge Dedaub ble muligheten for at en bruker sendte NFT-er direkte til en ikke-klarert mottaker ansett som en brukerfeil.

Mer komplekse og mindre sannsynlige scenarier ble ansett som gyldige for reentrancy, noe som resulterte i at Uniswap vurderte vektoren til å ha lav sannsynlighet. Cointelegraph har kontaktet Uniswap for å finne ut mer om det pågående dusørprogrammet, utbetalte beløp og antall feil identifisert til dags dato.

Bug-premier har blitt vanlig i kryptovaluta- og blokkjede-området ettersom plattformer og selskaper prøver å sikre sikkerheten til deres programvare, systemer og infrastruktur. 

Cryptocurrency exchange Coinbase nylig klargjorde vilkårene for bug-premien, mens blokkjedesikkerhetsfirmaet Immunefi har tilrettelagt for over 65 millioner dollar verdi av bug-premier mellom etiske hackere og Web3-firmaer i 2022.