Uniswap è stato salvato dalla vulnerabilità da questa società di sicurezza

Società di sicurezza Dedaub scoperto e ha rivelato una vulnerabilità critica sul popolare scambio decentralizzato di Ethereum Uniswap. Il team dietro il protocollo ha corretto il bug e i componenti interessati sono stati ridistribuiti con successo, altrimenti un utente malintenzionato avrebbe potuto mitigare le transazioni per rubare i fondi di un utente. 

Uniswap evita il pericolo e corregge nuove funzionalità

Secondo la società di sicurezza, la vulnerabilità è stata implementata involontariamente con l'Universal Router. Questo componente consente agli utenti di Uniswap di scambiare token ERC-20 e token non fungibili "in un unico router di scambio".

In altre parole, gli utenti di Uniswap possono ottimizzare le proprie operazioni e scambiare più token e NFT in un'unica transazione, risparmiando tempo e denaro. Questo nuovo componente consente inoltre agli utenti di trasferire fondi a terzi. 

Una volta individuata la vulnerabilità, un utente potrebbe inviare una transazione a una terza parte e quest'ultima potrebbe aver ottenuto l'accesso ai fondi del mittente. Dedaub ha spiegato quanto segue:

(...) se il codice di terze parti viene richiamato in qualsiasi momento del trasferimento (che si manifesta a causa della composizione dei protocolli), il codice può rientrare nell'UniversalRouter e richiedere temporaneamente eventuali token nel contratto (...). L'attaccante deve anche implementare il codice per rientrare nel router (chiamando execute) e spazzare via tutte le quantità di token. Il router può contenere fondi a metà transazione a causa di altre azioni e trasferimenti in uno scambio complesso.

L'Universal Router trattiene i fondi del mittente mentre la transazione è completata. Mentre ciò accadeva, i fondi erano vulnerabili e un malintenzionato poteva prosciugarli chiamando comandi specifici come "invio" con un ".TRANSFER" o. ".SPAZZARE."

La vulnerabilità avrebbe potuto consentire a un malintenzionato di "rientrare" in una transazione utilizzando questo comando. Una volta all'interno, l'aggressore avrebbe potuto “svuotare l'intero importo” dal portafoglio del mittente. 

La società di sicurezza ha aggiunto quanto segue sugli "scenari infiniti" in cui la vulnerabilità avrebbe potuto essere sfruttata:

Se in qualsiasi momento del trasferimento viene richiamato codice non attendibile, il codice può rientrare in UniversalRouter e richiedere eventuali token già presenti nel contratto UniversalRouter. Tali token possono, ad esempio, esistere perché l'utente intende successivamente acquistare un NFT o trasferire token a un secondo destinatario, o perché l'utente scambia una quantità maggiore del necessario e intende "spazzare" il resto a se stesso alla fine del la chiamata UniversalRouter. E non mancano gli scenari in cui può essere chiamato un destinatario non fidato (…).

Ethereum DEX concede 3 milioni di dollari in Bug Bounty

Nel dicembre 2022, Uniswap ha lanciato l'Universal Router come parte della loro nuova compatibilità NFT. A quel tempo, Uniswap Labs ha annunciato un programma di taglie da 3 milioni di dollari. A Dedaub è stato concesso questo importo per la loro segnalazione di bug sul nuovo componente.

L'azienda ha celebrato la ricompensa e il fatto che un cattivo attore non abbia mai sfruttato la vulnerabilità. Inoltre, la società di sicurezza era "l'unica segnalazione di bug su cui Uniswap ha agito". 

Il 2022 è stato un anno problematico per le criptovalute e gli asset risk-on, mentre le forze macroeconomiche hanno giocato contro il nascente settore. Gli utenti hanno incontrato ostacoli oltre al calo dei prezzi poiché hacker e malintenzionati hanno sottratto miliardi al settore. 

I dati provenienti da sostiene la società di analisi on-chain Chainalysis che i cattivi attori hanno ricevuto oltre 26 miliardi di dollari in criptovaluta solo dal 2017 al 2021. Resta da vedere se il 2023 estenderà o mitigherà questa tendenza. 

Al momento della stesura di questo documento, il prezzo di UNI viene scambiato a $ 5.70 con movimento laterale sul grafico giornaliero.