Czy ShibaSwap to bezpieczny DEX? DeFi Safety daje mu wynik na poziomie zaledwie 3%

Pomimo natychmiastowego sukcesu zdecentralizowanej giełdy ShibaSwap, pojawiły się ostrzeżenia, że dostawcy płynności wkładają kapitał w nieprzejrzysty protokół o wątpliwym bezpieczeństwie. Twórcy meme coina Shiba Inu (SHIB) uruchomili we wtorek DEX z kuszącymi zachętami dla dostawców płynności. W ciągu 24 godzin od uruchomienia, protokół zgromadził całkowitą wartość zablokowaną (TVL) w wysokości ponad 1 miliarda dolarów. W środę DeFi Safety opublikował raport dot. ShibaSwap, oceniając protokół na zaledwie 3%. Jest to wynik bardzo słaby i znacznie niższy niż poziom 70%, który platforma uznaje za pozytywny. Autorem recenzji jest Rex Hygate, założyciel SecuEth i Caliburn Consulting. Zwrócił on uwagę na anonimowy zespół ShibaSwap, brak przejrzystości i dokumentacji oraz wskazał na fakt, że nie istnieje publiczne repozytorium oprogramowania, historia rozwoju, ani nie znany jest sposób testowania kodu.

ShibaSwap is up with a devastating 3% score. If you are looking for a prime example of what absolute negligence looks like in a protocol, look no further than this. Zero Transparency. You are putting your money in a black hole. //t.co/dUzU0vvCHW @ChrisBlec @ShibArmy #DeFi pic.twitter.com/QG3ykYakdt

— DeFi Safety (@DefiSafety) July 7, 2021

Platforma jest w trakcie audytu przeprowadzanego przez firmę Certik, która współpracowała m.in. z Crypto.com, Ontology i Neo. Audyt póki co jest w toku i nie są jeszcze dostępne żadne informacje. W środę, deweloper Solidity Joseph Schiarizzi opublikował artykuł ostrzegający, że kontrakt stakingowy ShibaSwap był pod kontrolą tylko jednego adresu przez większość pierwszego dnia działania. Chociaż ShibaSwap od tego czasu zaktualizował kontrakt do konta z wieloma podpisami, wymagając sześciu z dziewięciu bezpiecznych właścicieli, aby zgodzić się na transakcje przed ich wykonaniem, Schiarizzi ostrzega, że każdy z adresów może być pod kontrolą jednego podmiotu:

Wiele z tych Safe Owners to nowe konta z 0 transakcji i bez ETH, więc najprawdopodobniej są to tylko place holders dla devów ShibaSwap, którzy mogą łatwo zgodzić się na wywołanie dowolnej funkcji owner only na kontrakcie stakingowym.

Schiarizzi podkreślił ryzyko związane z funkcją migrate kontraktu stakingowego będącą pod kontrolą jednego podmiotu. Jak twierdzi deweloper, właściciele kontraktu "mogą po prostu wdrożyć nowy kontrakt migrator, który wysyła sobie wszystkie tokeny LP."

⚠️ Yesterday, it was noticed that all funds in ShibaSwap could be drained by 1 Ethereum account. ShibaSwap then switched ownership to a new Gnosis multisig with unknown signers & fresh addresses. The problem: it's possible to create a multisig and own all the keys yourself. pic.twitter.com/wSN1yOB2Qn

— Chris Blec (@ChrisBlec) July 7, 2021