Uniswap's onlangs gelanceerde bug bounty-programma heeft geleid tot de ontdekking van een nu opgeloste kwetsbaarheid van het Universal Router smart contract van het protocol.
De geautomatiseerde market maker uitgebracht twee nieuwe slimme contracten op zijn platform in november 2022. Met Permit2 kunnen tokengoedkeuringen worden gedeeld en beheerd tussen verschillende applicaties, terwijl Universal Router ERC-20 en nonfungible tokens (NFT's) verenigt in één enkele swaprouter.
Uniswap maakte ook reclame voor een lucratief bug bounty-programma om tegen het einde van 2022 potentiële kwetsbaarheden in zijn slimme contracten te identificeren, terwijl het de veiligheid en werkzaamheid van zijn protocol wilde verzekeren.
Beveiligings- en auditbedrijf voor slimme contracten Dedaub kondigde aan dat het een bugbounty had ontvangen na het signaleren van een kwetsbaarheid in het slimme contract van de Universal Router waardoor herintreding het geld van de gebruiker halverwege de transactie zou hebben leeggemaakt.
Het Dedaub-team heeft een kritieke kwetsbaarheid bekendgemaakt aan het Uniswap-team!
Fondsen zijn veilig - Uniswap heeft het probleem aangepakt en de slimme contracten van de Universal Router opnieuw geïmplementeerd in al zijn ketens
Door de kwetsbaarheid kan herintreding het geld van de gebruiker leegmaken, mid-tx.
— Dedaub (@dedaub) 2 januari 2023
Volgens de uitsplitsing van Dedaub stelt de Universal Router gebruikers in staat om verschillende acties uit te voeren, waaronder het wisselen van meerdere tokens en NFT's in één transactie.
De router bevat een scripttaal voor een breed scala aan tokenacties, waaronder overdrachten naar externe ontvangers. Indien correct geïmplementeerd, zouden overdrachten binnen gespecificeerde parameters naar de ontvanger gaan.
Zie ook: Immunefi zegt dat het sinds de oprichting $ 66 miljoen aan bugpremies heeft gefaciliteerd
Dedaub identificeerde echter een kwetsbaarheid waarbij tijdens de overdracht een code van een derde partij werd aangeroepen, waardoor de code opnieuw de Universal Router kon binnenkomen en tokens kon claimen die tijdelijk in het contract zaten.
Dedaub stelde vervolgens een eenvoudige oplossing voor en adviseerde het Uniswap-team om een herintredingsslot toe te voegen aan de kernuitvoering van de nieuwe router. Uniswap kende het accountantskantoor in totaal $ 40,000 toe voor het signaleren van de kwetsbaarheid. Het bedrag was inclusief een bonus van 33% voor het melden van het probleem tijdens de bonusperiode van Uniswap in november 2022.
Uniswap classificeerde het probleem als gemiddeld ernstig, terwijl bij verdere beoordeling werd aangenomen dat de kwetsbaarheid een grote impact en weinig waarschijnlijkheid heeft. Volgens Dedaub werd de mogelijkheid dat een gebruiker NFT's rechtstreeks naar een niet-vertrouwde ontvanger stuurde, beschouwd als een gebruikersfout.
Complexere en minder waarschijnlijke scenario's werden als geldig beschouwd voor herintreding, wat ertoe leidde dat Uniswap de vector als een lage waarschijnlijkheid beschouwde. Cointelegraph heeft contact opgenomen met Uniswap om meer details te verkrijgen over het lopende premieprogramma, de uitbetaalde bedragen en het aantal bugs dat tot nu toe is geïdentificeerd.
Bugpremies zijn gemeengoed geworden in de cryptocurrency- en blockchain-ruimte, aangezien platforms en bedrijven de veiligheid van hun software, systemen en infrastructuur willen waarborgen.
Cryptocurrency-uitwisseling Coinbase onlangs verduidelijkte de voorwaarden van zijn bug bounty, terwijl blockchain-beveiligingsbedrijf Immunefi heeft gefaciliteerd meer dan $ 65 miljoen waarde van bug bounties tussen ethische hackers en Web3-bedrijven in 2022.
Bron: https://cointelegraph.com/news/defi-auditor-nets-40-000-for-identifying-uniswap-vulnerability