SushiSwap Diretas, Pengguna Diminta Revoke Contract

🔊 Mode Dengar

Portalkripto.com — Decentralized exchange (DEX) SushiSwap dieksploitasi oleh peretas yang menyebabkan kerugian sekitar $3,3 juta atau 1.800 Ether (ETH). Kerugian nyaris Rp50 miliar tersebut dialami seorang pengguna Twitter pemilik akun 0xSifu.

Eksploitasi tersebut terkait dengan bug dalam kontrak RouterProcessor2 yang digunakan untuk mengeksekusi perutean swap. Untuk pencegahan, pengguna diminta untuk merevoke contract RouterProcessor2 di semua chain perdagangan SushiSwap.

Sushi's RouteProcessor2 contract has an approval bug; please revoke approval ASAP. We're working with security teams to mitigate the issue. https://t.co/WhXJfa5xD4

— Jared Grey (@jaredgrey) April 9, 2023

Diuraikan firma keamanan siber Web3, Ancila, Inc. menguraikan bahwa akar pemicu serangan peretasan ini adalah sebuah bug dalam fungsi swap() internal yang memanggil swapUniV3() untuk menyetel variabel “lastCalledPool” yang ada di slot penyimpanan 0x00.

Dikutip dari The Block, bug ini membuat pengguna tanpa sadar memberikan izin kepada pengeksploitasi untuk mencuri token mereka, atau yang dikenal sebagai “yoink” dalam kasus ini. Bug tersebut memungkinkan entitas yang tidak sah untuk mengambil token tanpa persetujuan yang tepat dari pemilik.

Salah satu developer firma analitik Defillama, 0xngmi, menyatakan hanya mereka yang melakukan swap di platform dalam empat hari terakhir yang berpotensi terpengaruh oleh peretasan. Analis Riset The Block, Kevin Peng menyebut sejauh ini ada 190 alamat Ethereum yang telah menyetujui panggilan contract bermasalah tersebut. Selain di Ethereum, ada lebih dari 2000 alamat di Layer 2 Arbitrum telah menyetujui kontrak tersebut.

Hingga saat ini, tim whitehat SushiSwap telah beraksi mengamankan sebagian dana yang digondol dan melakukan pencegahan lanjutan. SushiSwap mengonfirmasi bahwa perusahaan telah mengamankan lebih dari 300 ETH dana yang dicuri dari 0xSifu. Mereka juga telah menghubungi tim Lido terkait 700 ETH lainnya.

If you were affected, please read this thread & follow the instructions: https://t.co/9NSAfWa6dl

— Jared Grey (@jaredgrey) April 9, 2023

Untuk yang terimbas, pengguna diminta mengecek outflow dana mereka. Bila outflow dana terjadi ke alamat wallet “0x74Ebb8”, dana pengguna aman lantaran ditransfer ke alamat whitehat tim SushiSwap. Bila outflow ke alamat lain, pengguna diminta untuk mengontak tim SushiSwap.

Tim juga menyatakan bahwa aktivitas swap/trade di SushiSwap sudah aman dan mereka telah menghapus contact dari peretas. Tim juga menyediakan portal konfirmasi revoke contract bagi pengguna yang kadung menyetujui kontrak RouteProcessor2 dari peretas.