El programa de recompensas por fallos de Uniswap fue el responsable del descubrimiento de una vulnerabilidad en su contrato inteligente Universal Router, que ya ha sido parcheada.
¿Cómo el auditor logró conseguir la vulnerabilidad?
En noviembre de 2022, el creador de mercado automatizado integró no uno, sino dos nuevos contratos inteligentes. Mientras que Universal Router integra la conmutación ERC-20 y NFT en un único enrutador, Permit2 es una aplicación que organiza y comparte las aprobaciones de tokens a través de diferentes aplicaciones.
Uniswap patrocinó un considerable programa de recompensa de errores con la esperanza de descubrir cualquier vulnerabilidad en sus contratos inteligentes antes del año 2022.
Después de señalar una vulnerabilidad en el contrato inteligente Universal Router, que habría permitido la reentrada para robar el dinero del usuario en medio de una transacción, Dedaub recibió una recompensa por sus esfuerzos.
The Dedaub team has disclosed a Critical vulnerability to the Uniswap team!
Funds are safe – Uniswap addressed the issue and redeployed the Universal Router smart contracts on all its chains 👏
The vulnerability allows re-entertrancy to drain the user's funds, mid-tx.
— Dedaub (@dedaub) January 2, 2023
Según Dedaub, el Universal Router permite a los usuarios intercambiar muchos tokens, incluidos los no fungibles, en una única transacción.
El enrutador incluye un lenguaje de programación que puede utilizarse para actividades con tokens, como transferencias a otras partes. Si la implementación se hiciera correctamente, las transferencias se realizarían dentro de los parámetros.
¿En qué consistía el fallo?
Dedaub descubrió un fallo que permitía a un programa de terceros volver a entrar en el enrutador universal y reclamar los tokens que se mantuvieran brevemente en el contrato.
Este mismo sugirió que se añadiera un bloqueo de reentrada a la ejecución del núcleo del nuevo enrutador. Uniswap estaba dispuesta a pagar a la empresa auditora 40.000 dólares por localizar la vulnerabilidad de seguridad. La recompensa se incrementó en un 33% como incentivo por revelar el problema antes de noviembre de 2022.
Uniswap asignó a la vulnerabilidad una calificación de gravedad media, señalando que tenía un alto impacto pero un bajo riesgo de ser explotada. El hecho de transmitir un NFT a una ubicación en la que Dedaub no confiaba se consideró un error del usuario.
Dado que Uniswap creía que incluso los escenarios de reentrada inverosímiles y complicados podían ser válidos, asignó una calificación baja al vector. Un importante medio se puso en contacto con Uniswap para informarse sobre su programa de incentivos, las cantidades pagadas y el número total de fallos descubiertos.
Las recompensas por fallos son cada vez más comunes en las comunidades de bitcoin y blockchain como resultado de los esfuerzos realizados por plataformas y organizaciones para salvaguardar su software, sistemas e infraestructura.
En 2022, la empresa de seguridad de blockchain Immunefi fue responsable de facilitar 65 millones de dólares en recompensas por fallos. Coinbase actualizó recientemente los criterios que utiliza para su programa de recompensas por fallos.
Síguenos en Google News: UNPSEOForma parte de estos grupos:
