L’hacker che ha attaccato preventivamente SushiSwap spiega come ha fatto

Autore

Baldassare Poma

Autore

Baldassare Poma

Profilo dell'autore

condividi

Copiato

Ultimo aggiornamento:

Aprile 10, 2023 17:45 CEST

Perché puoi fidarti di noi

Da oltre dieci anni il team di Cryptonews è al lavoro quotidiano per fornire ai propri lettori approfondimenti e guide su tutte le tematiche del settore delle criptovalute. I nostri esperti ed analisti hanno una vasta esperienza nell’analisi di mercato e sulle tecnologie blockchain. Ci impegniamo a mantenere elevati i nostri standard editoriali, concentrandoci sull'accuratezza dei fatti e su un reporting equilibrato e terzo in tutte le aree, dalle criptovalute alla blockchain, ai nuovi progetti e sviluppi tecnologici. La nostra presenza costante nel settore riflette il nostro impegno nel fornire informazioni rilevanti in un mondo, quello delle risorse digitali, che è sempre più in evoluzione. Scopri di più su Cryptonews.

Disclaimer

Siamo fautori di un rapporto basato sulla più totale trasparenza con i nostri lettori. Ed è per questo che teniamo a sottolineare che alcuni dei nostri contenuti potrebbero includere link di affiliazione, da cui poter guadagnare una commissione attraverso queste partnership.

Recentemente l’exchange decentralizzato di criptovalute SushiSwap ha subito un attacco hacker dove sono stati rubati circa $3,3 milioni. Alcuni “white hat” sono intervenuti a sostegno del’exchange riuscendo a mettere al sicuro parte dei fondi detenuti nella piattaforma.

Certik e PeckShield avevan rivelato un’attività sospetta in quello smart contract, e chiesto gli utenti di rimuovere l’approvazione.

It seems the @SushiSwap RouterProcessor2 contact has an approve-related bug, which leads to the loss of >$3.3M loss (about 1800 eth) from @0xSifu.

If you have approved https://t.co/E1YvC6VZsP, please *REVOKE* ASAP!

One example hack tx: https://t.co/ldg0ww3hAN pic.twitter.com/OauLbIgE0Q

— PeckShield Inc. (@peckshield) April 9, 2023

Gli hacker guidati da Trust hanno sfruttato una vulnerabilità presente in RouteProcessor2, per fare un attacco preventivo e salvare circa 1.000 ETH, mentre altri malintenzionati hanno imitato l’attacco e rubato dei fondi. L’hacker “buono” Trust ha spiegato cosa è successo.

SushiSwap colpito da un attacco hacker avanzato

Trust ha spiegato che il contratto RouteProcessor2, distribuito solo quattro giorni fa, è progettato per supervisionare vari tipi di scambi di token SUSHI, l’utility token di SushiSwap. Gli utenti pre-approvano il contratto per spendere i propri token ERC20, quindi chiamano la funzione swap() per eseguire lo scambio.

Tuttavia, il contratto interagisce con i pool UniswapV3 in modo non sicuro, poiché si fida completamente dell’indirizzo “pool” fornito dall’utente.

La supervisione consente a un pool errato di fornire informazioni false al contratto sulla fonte e sull’importo di un trasferimento, consentendo a qualsiasi utente di falsificare uno scambio e ottenere l’accesso all’intero importo approvato di un altro utente.

I dubbi si Trust

L’hacker che si fa chiamare Trust ha affermato che questa vulnerabilità avrebbe dovuto essere rilevata da qualsiasi società di revisione, sollevando preoccupazioni sull’affidabilità di chi ha prodotto il codice di base.

L’hacker ha anche menzionato la presenza di bot altamente sofisticati che hanno replicato la loro transazione di fondi per rubare risorse, sottolineando le ampie risorse e capacità di questi bot, noti come bot “miner exctractable value“(MEV).

L’hackeraggio preventivo di Trust

Trust ha scelto di eseguire l’hack preventivo per diversi motivi.

• Un’ora e mezza prima dell’hack aveva presentato un rapporto completo sulla vulnerabilità, ma non aveva ricevuto risposta.
• Temeva che il team di sviluppo potesse non essere disponibile durante il fine settimana.
• Sapeva che il contratto non poteva essere risolto e poteva solo essere violato o revocare le approvazioni degli utenti.

Infine, hanno dato la priorità al salvataggio di un unico indirizzo che deteneva la maggior parte dei fondi a rischio, l’indirizzo di Sifu. Trust inoltre non ha previsto la complessità dei robot MEV nella situazione.

Alla luce di queste rivelazioni, è fondamentale per la comunità crypto rivalutare le pratiche di sicurezza e dare la priorità a controlli approfonditi sugli smart contract per evitare che tali vulnerabilità vengano sfruttate.

Inoltre, le azioni di Trust dimostrano l’importanza degli hacker white hat nell’ecosistema, che lavorano per proteggere i fondi degli utenti e migliorare la sicurezza generale.

Leggi anche:

• Truffatore crypto ruba 1,2 milioni di dollari in token ARB
• C’è la Corea del Nord dietro l’attacco da $200 milioni a Euler?

Segui Cryptonews Italia sui canali social