SushiSwap спростувала наявність у протоколі «вразливості на мільярд» – Bits Media

Розробник децентралізованої біржі SushiSwap спростував виявлення «білим хакером» передбачуваної вразливості, яка може обійтися протоколом у $1 млрд.

Сьогодні вночі "білий хакер" CryptoWilfred опублікував
у своєму Твіттері кілька записів про виявлену ним вразливості на платформі SushiSwap, яка може поставити під загрозу криптоактиви користувачів на $1 млрд. він заявив, що вирішив оприлюднити інформацію після того, як спроби зв'язатися з розробниками SushiSwap ні до чого не спричинили.

Хакер стверджує, що виявив вразливість у функції emergencyWithdraw у двох смарт-контрактах SushiSwap, MasterChefV2 і MiniChefV2, які регулюють роботу ферм дворазової винагороди біржі та пули у розгортанні SushiSwap на Polygon, Binance Smart Chain і Avalanche.

Функція emergencyWithdraw дозволяє постачальникам ліквідності негайно вивести свої криптоактиви, втрачаючи при цьому винагороди у разі виникнення надзвичайної ситуації. Проте хакер стверджує, що ця функція не спрацює, якщо в пулі SushiSwap немає винагород. Наслідком цього стане тривале очікування для постачальників ліквідності того моменту, коли поки що пул буде поповнений вручну, що може займати близько десятої години. Тільки після цього виведення криптоактивів у рамках функції стане доступним.

«Усім власникам підписів може знадобитися близько десятої години, щоб дати згоду на поповнення рахунку винагород, а деякі пули винагород виявляються порожніми кілька разів на місяць», – заявив хакер. «Розгортання SushiSwap без використання Ethereum та дворазові винагороди (все з використанням уразливих контрактів MiniChefV2 та MasterChefV2) мають криптоактиви вартістю більше $1 млрд. Це означає, що всі ці гроші можуть бути заблоковані для користувачів протягом десяти годин кілька разів на місяць».

Один із анонімних розробників SushiSwap написав
у Твіттері, що загроза «не є вразливістю» і що гроші користувачів у безпеці. Він пояснив, що будь-який власник підпису може поповнити пул винагороди у разі надзвичайної ситуації, минаючи більшу частину десятигодинного процесу з кількома підписами. Згідно із заявою розробника:

«Твердження хакера про те, що хтось може додати багато постачальників ліквідності, щоб швидше отримати винагороду, неправильно. Чим більше постачальників ліквідності, тим менша винагорода для кожного з них».

Хакер заявив, що розповів про вразливість на платформі виявлення помилок Immunefi, де SushiSwap пропонує виплатити винагороду у розмірі до $40 000 за повідомлення про критичні помилки у протоколі. Проте заявку було закрито без виплати винагороди – розробники SushiSwap відповіли, що обізнані про ситуацію.

Минулого тижня розробники децентралізованої біржі SushiSwap повідомили, що внаслідок хакерської атаки з платформи для продажу токенів MISO було вкрадено 864 ETH. Раніше на платформі MISO вже було виявлено
вразливості. У серпні SushiSwap уникла злому на $365 млн завдяки «білому хакеру».