Децентрализованная биржа SushiSwap подверглась атаке маршрутизатора торговли. Злоумышленнику удалось вывести 1800 ETH (~$3,3 млн) и поставить под удар всех пользователей DEX, которые совершали обмен на бирже в течение «последних четырех дней».
Охранная фирма PeckShield обнаружила уязвимость в смарт-контракте маршрутизатора RouteProcessor2 на SushiSwap. Злоумышленник использовал ошибку, связанную с одобрением, и вывел порядка 1800 ETH.
Главным пострадавшим в результате эксплойта стал соучредитель обанкротившейся канадской биржи QuadrigaCX Майкл Патрин. Именно его аккаунт на DEX был взломан. Анонимный Twitter-пользователь Trust утверждает, что он заметил уязвимость и вывел 100 ETH из аккаунта Патрина, чтобы позже их вернуть владельцу. Однако злоумышленник смог проследить за действиями «белого хакера» и повторить их.
Злоумышленник смог совершить обратный вызов маршрутизатора RouteProcessor2 на SushiSwap, используя «фейковый пул» протокола Uniswap v3. Об этом рассказал Антон Буков, соучредитель 1inch Network. По его мнению, маршрутизатор не выполнял проверок на подлинность, что и позволило хакеру осуществить атаку.
По словам анонимного разработчика 0xngmi, взлом может затронуть тех пользователей, которые совершали обмен на DEX в течение «последних четырех дней». Главный разработчик SushiSwap Джаред Грей призвал пользователей отозвать разрешения на все контракты на SushiSwap «в качестве меры безопасности». Команда проекта создала список контрактов на GitHub с различными блокчейнами, требующими отзыва. По данным The Block, «проблемные контракты» одобрили как минимум 190 адресов на блокчейне Ethereum и свыше 2000 адресов на Arbitrum.
События привели к падению котировок токена SUSHI, который потерял порядка 5% стоимости. Согласно данным CoinGecko, 10 апреля 11:00 (GMT+3) цена актива составляет $1,1.
Напомним, DeFi остается самым уязвимым сектором на крипторынке. Так, хакерам удалось украсть более $6,77 млрд через DeFi-протоколы за два последних года.
