Le bogue du contrat intelligent SushiSwap exploité dans un vol de 3,3 millions de dollars
Un bogue introduit dans SushiSwap il y a quatre jours a été exploité samedi soir pour drainer environ 3,3 millions de dollars d’Ethereum du compte d’un seul utilisateur.
Selon un message publié sur Twitter par la société de sécurité et d’analyse de données blockchain PeckShield, un portefeuille contrôlé par la victime – un membre éminent de la communauté Crypto Twitter connue sous le nom de Sifu – a été ciblé par un « bogue lié à l’approbation » dans le contrat RouterProcessor2 de SushiSwap pour voler. 1 800 ETH.
Une analyse distincte de la société de cybersécurité soutenue par Binance, Ancilia, a déterminé que la faille était l’incapacité de valider les autorisations d’accès à mi-chemin d’une transaction d’échange. La firme a également trouvé le contrat vulnérable sur le réseau Polygon.
3/ La cause principale est que dans la fonction interne swap(), elle appellera swapUniV3() pour définir la variable « lastCalledPool » qui se trouve à l’emplacement de stockage 0x00. Plus tard dans la fonction swap3callback, la vérification des autorisations est contournée.
Le « chef cuisinier » de SushiSwap, Jared Gray, a confirmé le bogue et l’exploit environ une heure plus tard, et a répété la recommandation de Peckshield aux utilisateurs qui ont interagi avec la blockchain de SushiSwap de révoquer toutes les autorisations accordées à ses contrats. Gray avait annoncé la nouvelle de l’assignation à comparaître de la SEC de SushiSwap il y a deux semaines.
Tôt dimanche matin, le directeur technique de SushiSwap, Matthew Lilley, a donné plus de détails.
»
« Il n’y a aucun risque pour le moment avec l’utilisation du protocole Sushi et de l’interface utilisateur », a-t-il poursuivi. « Toute exposition à RouterProcessor2 a été supprimée du front-end, et tout l’activité d’échange actuelle peut être effectuée en toute sécurité. »
Pour aider les utilisateurs à déterminer s’il avait accordé à RouteProcessor2 l’accès à ses fonds, Lilley a publié un lien vers un outil permettant de vérifier l’exposition sur divers réseaux, notamment Ethereum, Polygon, Avalange, Arbitrum, Gnosis, Optimism et autres.
Selon Grey, plus de 300 ETH des fonds volés de Sifu ont depuis été récupérés, avec 700 autres ETH en cours. L’effort de récupération a été suivi par le service de visualisation cryptographique MetaSleuth.
Malgré le piratage, le prix du jeton SUSHI de SushiSwap n’a baissé que légèrement au cours des dernières 24 heures, en baisse d’environ 3 %.
En 2021, SushiSwap a évité de justesse un piratage massif lorsqu’un chercheur en crypto « chapeau blanc » a découvert un bug d’enchères qui aurait pu être exploité à hauteur de 350 millions de dollars.
