Bolsa DEX SushiSwap perde US$ 3,3 milhões em ataque de hacker
A popular plataforma de exchange descentralizada (DEX) SushiSwap calcula em mais de US$ 3,3 milhões as perdas após um hacker ter explorado um bug em um contrato inteligente.
O alvo do ataque hack na DEX foi o contrato RouteProcess02. Trata-se de um smart contract que agrega liquidez comercial de múltiplas fontes e identifica o preço mais favorável para negociação de criptomoedas. Depois do hack, o bug foi distribuído por várias redes de blockchain.
A empresa de segurança cripto Ancilia explicou em uma postagem no Twitter:
“A causa está na função swap interna, que chamará swapUniV3 para definir a variável “lastCalledPool” que está no slot de armazenamento 0x00. Mais tarde, na função swap3callback, a verificação de permissão é contornada.”
DefiLlama, desenvolvedor cujo pseudônimo é 0xngmi, sugeriu que somente os usuários que tinham negociado no protocolo durante os últimos quatro dias deveriam ser afetados pelo hack. No Twitter, 0xngmi sugeriu.
“Os usuários afetados pelo hack Sushiswap devem ser somente aqueles que fizeram operações de exchange no Sushiswap nos últimos 4 dias. Se você o fez, reverta as aprovações o mais rápido possível ou mova seus fundos na carteira afetada para uma nova carteira.”
Ao menos um usuário foi vítima do hack até agora. A vítima, que é um conhecido defensor do mercado cripto chamado Sifu, supostamente perdeu 1.800 ETH (no valor de cerca de US$ 3,3 milhões).
Clientes são instados a revogar permissões de contratos
Enquanto isso, o principal desenvolvedor da SushiSwap, Jared Grey, instou os usuários a revogar as permissões para todos os contratos do protocolo. Grey declarou:
“O contrato do Sushi RouteProcessor2 tem um bug de aprovação; por favor, revogue a aprovação o mais rápido possível.”
Grey também criou uma lista de contratos no GitHub com diferentes blockchains que requerem revogação para resolver o problema. O contrato vulnerável também é implantado no Polygon, uma plataforma de blockchain compatível com Ethereum. Assim como o Ethereum, Polygon usa um mecanismo de consenso proof-of-stake para o processamento de transações em cadeia.
SushiSwap recuperou uma “grande parte” dos fundos roubados
A equipe da SushiSwap conseguiu recuperar uma parte significativa dos fundos roubados através de um processo de segurança chamado Whitehat, ou chapéu branco.
Whitehat é um hacker de segurança ética. O hacking ético é um termo destinado a implicar uma categoria mais ampla do que apenas testes de penetração. Sob o consentimento do proprietário, os hackers de chapéu branco identificam as vulnerabilidades ou problemas de segurança do sistema.
“Asseguramos uma grande parcela dos fundos afetados em um processo de segurança “whitehat”. Se você realizou uma recuperação do whitehat, entre em contato com [email protected] para os próximos passos”, disse Grey em 9 de abril.
“Confirmamos a recuperação de mais de 300 ETH de Coffeebabe dos fundos roubados de Sifu. Estamos em contato com a equipe do Lido em relação a mais 700 ETH.”
Não há mais risco para negociações, garante CTO de SushiSwap
O CTO de SushiSwap, Matthew Lilley, deu seguimento mais tarde e disse que já não há problemas com a utilização da plataforma SushiSwap DEX. “Toda a exposição ao RouterProcessor2 foi removida do front end e toda a atividade de LPing /swap é segura”, acrescentou.
O recente hack vem em um momento de crescente escrutínio regulatório da DEX, pois tanto o Sushi DAO como o desenvolvedor Jared Grey foram intimados pela US Securities and Exchange Commission.
Em 21 de março, a organização anunciou a intimação na forma de uma proposta apresentada ao Sushi DAO para o estabelecimento de um fundo de defesa legal para cobrir possíveis custos legais.
No fim de semana, Grey emitiu uma declaração oficial a respeito da intimação, alegando que “a investigação da SEC é um inquérito não público, tentando determinar se houve alguma violação das leis federais de valores mobiliários”.
“Tanto quanto sabemos, a SEC não chegou a uma conclusão de que alguém afiliado à Sushiswap tenha violado as leis federais de valores mobiliários dos Estados Unidos.”
Leia mais:
- Cryptonews.com dá US$ 1.000 de presente em Bitcoin: tudo o que você precisa saber
- Faltam mulheres na Web3, alerta Helena Margarido, COO da Kato Assets
- CVM reconhece tokens de renda fixa como valores mobiliários
