SushiSwap mogło zaoszczędzić 350 mln USD dzięki etycznemu hakerowi

Zdecentralizowana giełda SushiSwap mogła paść ofiarą poważnego ataku hakerskiego i uniknęła kosztownych konsekwencji tylko dlatego, że „napastnikiem” był etyczny haker. Analityk ds. bezpieczeństwa z firmy Paradigm, znany na Twitterze jako Samczsun, zdołał uchronić SushiSwap i jej platformę Miso przed potencjalną utratą aż 109 000 ETH. W opublikowanym we wtorek wpisie na blogu programista opisał, jak zaczął analizować kod inteligentnego kontraktu dla sprzedaży tokenów BitDAO na platformie Miso, należącej do SushiSwap. Po bliższym przyjrzeniu się, znalazł wadę w kontrakcie aukcji Miso Dutch, w którym pewnym elementom brakowało kontroli dostępu. Po głębszej analizie haker odkrył lukę, która w rękach nieuczciwego hakera mogła spowodować wyprowadzenie wszystkich kryptowalut w kontrakcie aukcji tokenów. Atakujący mógłby ponadto ponownie użyć tego samego ETH, aby wysłać wiele zleceń do kontraktu i „bezpłatnie uczestniczyć w aukcji”.

Aukcja zakończyła się sukcesem

Samczsun przetestował lukę w zabezpieczeniach, po czym skontaktował się ze współpracownikami, Georgiosem Konstantopoulosem i Danem Robinsonem, aby również przyjrzeli się sprawie i sprawdzili wyniki. Odkrył on również, że haker może ukraść środki z kontraktu, uruchamiając zwrot pieniędzy poprzez wysłanie większej ilości ETH niż wynosi limit aukcji. Wartość strat w takim ataku mogłaby wynosić nawet 350 mln USD. Kolejnym punktem kontaktowym był szef ds. technologii SushiSwap, Joseph Delong, który miał określić plan ratunkowy, zanim luka zostanie odkryta i wykorzystana przez hakerów. Zdecydowano, że zespół BitDAO prowadzący sprzedaż tokenów ręcznie zakończy aukcję poprzez zakup pozostałej alokacji i natychmiast zakończy proces, ratując środki. SushiSwap podkreśliła, że nie doszło do utraty środków i wskazała, że tymczasowo zrezygnuje z formatu aukcji Miso Dutch. Zgodnie z wpisem udostępnionym przez giełdę na Twitterze, sprzedaż tokenów BitDAO przebiegła bez zakłóceń, gromadząc ponad 112 000 ETH o wartości około 336 mln USD od ponad 9200 uczestników aukcji.