Un error introducido en SushiSwap hace cuatro días fue explotado el sábado por la noche para drenar alrededor de $ 3,3 millones en Ethereum de la cuenta de un solo usuario. Según una publicación en Twitter de la empresa de análisis de datos y seguridad blockchain PeckShield, una billetera controlada por la víctima, un miembro de la comunidad Crypto Twitter conocida como Sifu—fue atacado por un «error relacionado con la aprobación» en el contrato RouterProcessor2 de SushiSwap para robar alrededor de 1,800 ETH. Un análisis separado realizado por la firma de seguridad cibernética respaldada por Binance, Ancilia, determinó que la falla fue la falla en validar los permisos de acceso a la mitad de una transacción de intercambio. La firma también encontró el contrato vulnerable en la red Polygon.
3/ La causa raíz se debe a que en la función interna swap(), llamará a swapUniV3() para establecer la variable «lastCalledPool» que se encuentra en la ranura de almacenamiento 0x00. Más adelante, en la función swap3callback, la verificación de permisos se omite. pic.twitter.com/LN0Ppsob9a
— Ancilia, Inc. (@AnciliaInc) 9 de abril de 2023
El «jefe de cocina» de SushiSwap, Jared Gray, confirmó el error y la vulnerabilidad aproximadamente una hora después, y repitió la recomendación de Peckshield de que los usuarios que hayan interactuado con la cadena de bloques de SushiSwap revoquen todos los permisos otorgados a sus contratos. Gray había dado la noticia de la citación de la SEC de SushiSwap hace dos semanas. Temprano el domingo por la mañana, el CTO de SushiSwap, Matthew Lilley seguimiento con más detalles. Actualmente, todos estamos trabajando para identificar todas las direcciones que se han visto afectadas por el exploit RouterProcessor2. Lilley escribió. «Se han iniciado varios rescates, y continuamos monitoreando / rescatando fondos a medida que estén disponibles». «No hay riesgo en este momento con el uso del Protocolo Sushi y la interfaz de usuario», continuó. «Se eliminó toda la exposición a RouterProcessor2 del front-end, y todos [liquidity providing and] la actividad de intercambio actual es segura». Para ayudar a los usuarios a determinar si él o ella había otorgado a RouteProcessor2 acceso a sus fondos, Lilley publicó un enlace a una herramienta para comprobar la exposición a través de una variedad de redes, incluidas Ethereum, Polygon, Avalange, Arbitrum, Gnosis, Optimism y otras. Según Grey, desde entonces se han recuperado más de 300 ETH de los fondos robados de Sifu, con otros 700 ETH en proceso. El esfuerzo de recuperación ha sido rastreado por el servicio de visualización criptográfica MetaSleuth. A pesar del ataque, el precio del token SUSHI de SushiSwap ha bajado solo ligeramente en las últimas 24 horas, aproximadamente un 3%. En 2021, SushiSwap evitó por poco un ataque masivo cuando un «blanco hat» cripto investigador descubrió un error de licitación que podría haber sido explotado por una suma de $ 350 millones.
