Ошибка одобрения на SushiSwap приводит к эксплойту на $3,3 млн

Согласно нескольким сообщениям о безопасности в Twitter, ошибка в смарт-контракте протокола децентрализованных финансов (DeFi) SushiSwap привела к убыткам на сумму более 3 миллионов долларов в первые часы 9 апреля.

Похоже, что затронуты только те пользователи, которые торговали на децентрализованной бирже за последние четыре дня.

Компании по обеспечению безопасности блокчейна CertiK Alert и Peckshield сообщили о необычной активности, связанной с функцией утверждения в Sushi Router Processor 2 — смарт-контракте, который агрегирует торговую ликвидность из нескольких источников и определяет наиболее выгодную цену для обмена монет. В течение нескольких часов ошибка привела к убыткам в размере 3,3 миллиона долларов.

«Похоже, что у контакта SushiSwap RouterProcessor2 есть ошибка, связанная с одобрением, которая приводит к потере 3,3+ миллиона долларов (около 1800 eth) от @0xSifu. Если вы одобрили взаимодействие с этим контрактом, *ОТМЕНИТЕ* КАК МОЖНО СКОРЕЕ! Один пример взлома TX:

— сообщает PeckShield Inc. (@peckshield) 9 апреля 2023 г.

По словам разработчика DefiLlama под псевдонимом 0xngmi, взлом должен затронуть только тех пользователей, которые взаимодействовали с протоколом за последние четыре дня.

Главный разработчик Sushi Джаред Грей призвал пользователей отозвать разрешения для всех контрактов по протоколу.

«Контракт Sushi RouteProcessor2 имеет ошибку утверждения. Пожалуйста, отзовите одобрение как можно скорее. Мы работаем с командами безопасности, чтобы смягчить проблему», — сказал он.

Для решения этой проблемы был создан список контрактов на GitHub с различными блокчейнами, требующими отзыва.

Через несколько часов после инцидента Грей сообщил в Твиттере, что «большая часть затронутых средств» была возвращена с помощью процесса обеспечения безопасности белыми шляпами.

«Мы подтвердили возврат более 300 ETH от CoffeeBabe из украденных средств Sifu. Мы связались с командой Lido по поводу еще 700 ETH», – сообщил Джаред Грей (@jaredgrey) 9 апреля 2023 г.

У сообщества SushiSwap были напряженные выходные. 8 апреля Грей и его адвокат прокомментировали недавнюю повестку в суд из Комиссии по ценным бумагам и биржам США.

«Расследование SEC — это непубличное расследование по установлению фактов, пытающееся определить, имели ли место какие-либо нарушения федеральных законов о ценных бумагах. Насколько нам известно, SEC (на момент написания этой статьи) не сделала никаких выводов о том, что кто-либо, связанный с Sushi, нарушил федеральные законы США о ценных бумагах», — заявил он.

Грей утверждает, что сотрудничает со следствием. Фонд правовой защиты в ответ на повестку в суд был предложен на форуме управления Sushi 21 марта.