SushiSwap phủ nhận báo cáo về lỗ hổng bảo mật tỷ đô của hacker mũ trắng

Nhà phát triển SushiSwap đã bác bỏ thông tin nền tảng xuất hiện một lỗ hổng, được báo cáo từ một hacker mũ trắng trong khi nghiên cứu bộ code từ các hợp đồng thông minh của họ.

Liệu lời bác bỏ này của SushiSwap có đáng tin?

Theo báo cáo, hacker đã xác định được một lỗ hổng có thể khiến hơn 1 tỷ USD tiền người dùng bị đánh cắp. Sau khi phát hiện, hacker đã liên hệ với các nhà phát triển của SushiSwap nhưng có vẻ như độ ngũ không có ý định hành động.

Hacker tuyên bố đã xác định được lỗ hổng trong chức năng Rút tiền khẩn cấp từ hai hợp đồng của SushiSwap là MasterChefV2 và MiniChefV2. Mặc dù chức năng này cho phép các nhà cung cấp thanh khoản ngay lập tức nhận được token LP của họ trong trường hợp khẩn cấp, nhưng hacker tuyên bố tính năng này sẽ không khả dụng nếu không có phần thưởng nào được lưu tại pool SushiSwap. Điều này khiến các nhà cung cấp thanh khoản phải đợi pool được được nạp lại theo cách thủ công trong khoảng 10 giờ thì họ mới có thể rút token.

“Có thể mất khoảng 10 giờ để tất cả những holder có chữ ký (signature holders) đồng ý nạp tiền vào tài khoản phần thưởng. Đó là còn chưa kể đến việc một số pool phần thưởng bị bỏ trống nhiều lần trong tháng”, hacker cho biết. “Việc triển khai non-Ethereum của SushiSwap và phần thưởng gấp đôi (tất cả đều sử dụng các hợp đồng MiniChefV2 và MasterChefV2 vốn đang có lỗ hổng) có tổng giá trị hơn 1 tỷ USD. Đồng nghĩa giá trị này về cơ bản là không thể khả dụng trong 10 giờ nhiều lần trong tháng”.

Tuy nhiên, nhà phát triển của SushiSwap đã lên Twitter để bác bỏ tuyên bố rằng nền tảng có lỗ hổng. Nhà phát triển Shadowy Super Coder Mudit Gupta của nền tảng nhấn mạnh rằng mối đe dọa được mô tả không phải là một lỗ hổng và không có quỹ nào có nguy cơ xảy ra. Gupta đã làm rõ rằng bất kỳ ai đều có thể nạp tiền cho phần thưởng của pool trong trường hợp khẩn cấp, việc bỏ qua phần lớn quy trình multi-sig kéo dài 10 giờ mà hacker tuyên bố là cần thiết để bổ sung phần thưởng.

“Tuyên bố của hacker rằng một ai đó có thể đặt nhiều LP để rút phần thưởng nhanh hơn là không chính xác. Phần thưởng cho mỗi LP sẽ giảm xuống nếu bạn thêm nhiều LP hơn”, họ cho biết thêm.

Hacker cho biết họ đã được hướng dẫn báo cáo lỗ hổng trên nền tảng tiền thưởng lỗi Immunefi – nơi SushiSwap đang đề nghị trả phần thưởng lên tới 40.000 USD cho những người dùng báo cáo lỗ hổng rủi ro trong bộ mã của họ – sau khi họ liên hệ với sàn giao dịch lần đầu. Họ lưu ý rằng vấn đề đã được đóng lại trên Immunefi mà không được trả thưởng, và SushiSwap chỉ thông báo họ đã biết về vấn đề được mô tả.

Tham gia Telegram của Tạp Chí Bitcoin để theo dõi tin tức và bình luận về bài viết này: https://t.me/tapchibitcoinvn

• TVL tăng hơn 990% trong một năm, SushiSwap sẽ tiếp tục phát triển?
• Đồng sáng lập Sushiswap 0xMaki rời dự án không rõ lý do

Xoài

Theo Cointelegraph