Uniswap 被这家安全公司从漏洞中拯救出来

安全公司 Dedaub 发现 并披露了流行的以太坊去中心化交易所 Uniswap 的一个严重漏洞。 协议背后的团队修复了这个错误，受影响的组件被成功地重新部署——否则，攻击者可能会通过交易来窃取用户的资金。 

Uniswap 避免危险并修复新功能

据该安全公司称，该漏洞是无意中通过通用路由器实现的。 该组件允许 Uniswap 用户将 ERC-20 代币和不可替代代币“放入单个交换路由器”进行交易。

换句话说，Uniswap 用户可以优化他们的操作并在单笔交易中交易多个代币和 NFT，从而节省时间和金钱。 这个新组件还允许用户将资金转移给第三方。 

当漏洞就位时，用户可以向第三方发送交易，而后者可能已经获得了对发送者资金的访问权。 Dedaub 解释如下：

(...) 如果在传输过程中的任何时候调用第三方代码（由于协议的组合而表现出来），该代码可以重新进入 UniversalRouter 并在合约中临时声明任何令牌（...）。 攻击者还需要实现代码重新进入路由器（调用执行）并清除所有令牌数量。 由于复杂交换中的其他操作和转移，路由器可能包含交易中间的资金。

通用路由器在交易完成时持有发送方的资金。 虽然发生了这种情况，但资金很脆弱，坏人可以通过调用特定命令（例如带有“.TRANSFER”的“dispatch”或。 “。扫。”

该漏洞可能允许不良行为者使用此命令“重新输入”交易。 一旦进入，攻击者就可以从发件人的钱包中“耗尽全部金额”。 

该安全公司在漏洞可能被利用的“无尽场景”中添加了以下内容：

如果在传输过程中的任何时候调用不受信任的代码，该代码可以重新进入 UniversalRouter 并声明 UniversalRouter 合约中已有的任何令牌。 例如，此类代币的存在可能是因为用户打算稍后购买 NFT，或将代币转移给第二个接收者，或者因为用户交换的金额比需要的多，并打算在交易结束时将剩余部分“扫除”给自己。 UniversalRouter 调用。 并且不乏可能调用不受信任的收件人的场景 (...)。

以太坊 DEX 提供 3 万美元的漏洞赏金

2022 年 3 月，Uniswap 推出了通用路由器，作为其新的 NFT 兼容性的一部分。 当时，Uniswap Labs 宣布了一项 XNUMX 万美元的赏金计划。 Dedaub 因其在新组件上的错误报告而获得此金额。

该公司庆祝奖励以及坏人从未利用漏洞这一事实。 此外，这家安全公司是“Uniswap 采取行动的唯一错误报告”。 

2022 年对于加密货币和风险资产来说是麻烦不断的一年，而宏观经济力量对新兴行业不利。 由于黑客和不良行为者从该行业窃取了数十亿美元，用户经历了价格下跌以外的障碍。 

从数据 链上分析公司 Chainalysis 声称 仅从 26 年到 2017 年，不良行为者就获得了超过 2021 亿美元的加密货币。 2023 年是否会扩大或减缓这一趋势还有待观察。 

在撰写本文时，UNI 的价格为 5.70 美元，在日线图上横向移动。