SushiSwap diretas, Kepala Chef mengatakan 'cabut semua rantai'
Pertukaran terdesentralisasi SushiSwap telah menjadi korban eksploitasi, yang menyebabkan kerugian lebih dari $3,3 juta dari setidaknya satu pengguna, yang dikenal sebagai 0xSifu di Twitter.
2023-04-09 11:15:03 - EtherPOS
Eksploitasi tersebut melibatkan bug yang terkait dengan persetujuan pada kontrak RouterProcessor2 — yang direkomendasikan PeckShield dan Kepala SushiSwap Chef Jared Gray untuk dicabut di semua rantai.
Akar penyebabnya, menurut Ancilia, Inc. dan dalam istilah teknis, "adalah karena dalam fungsi swap() internal, ia akan memanggil swapUniV3() untuk menyetel variabel "lastCalledPool" yang ada di slot penyimpanan 0x00."
Akun cybersecurity menambahkan bahwa "nanti di fungsi swap3callback, pemeriksaan izin akan dilewati."
Untuk yoink, atau not yoink?
Dengan kata lain, dengan menyetujui kontrak yang buruk, pengguna tanpa sadar mengizinkan pengeksploitasi untuk mencuri token mereka — atau "yoink," dalam kasus ini.
"Fungsi "yoink" digunakan oleh penyerang pertama, karena vektor serangan menjadi bug dalam mekanisme "menyetujui" kontrak router SushiSwap," kata Analis Riset Blok Brad Kay.
"Bug tersebut memungkinkan entitas yang tidak sah untuk pada dasarnya "yoink" token tanpa persetujuan yang tepat dari pemilik token," Kay menjelaskan, menambahkan: "Setelah serangan pertama untuk 100 ETH - mungkin topi putih - sepertinya peretas lain datang dan mencuri ETH 1800-ish lainnya menggunakan kontrak yang sama tetapi malah menamai fungsinya "notyoink."