Неизвестный пользователь потерял $140 000 в токенах децентрализованной биржи Uniswap после размещения в пуле проекта UniCats. Эту историю рассказал исследователь ZenGo Алекс Манускин.
If you are not yet convinced that you should NOT be approving infinite tokens to some random smart contract/Dapp, here’s a story of how Jhon Doe lost $140K worth of UNI in their sleep.
1/
— Alex Manuskin (@amanusk_) October 5, 2020
По его словам, условный некий Джо наткнулся на причудливую схему доходного фермерства под названием UniCats.
Желая успех yEarn Finance (YFI), пользователь решает внести немного UNI.
В результате пришло сообщение от MetaMask: «позвольте этому dapp потратить ваш UNI». Полагая, что это нормальная практика всех похожих DeFi-протоколов, Джо согласился.
Jhon decides to deposit some $UNI, and gets the good old “Allow this Dapp to spend your UNI” message from Metamask, and thinks. “Oh, this again. Yeah, all the farming Dapps do that, why not ???>?”
And approves the transaction pic.twitter.com/qhghToDC0s
— Alex Manuskin (@amanusk_) October 5, 2020
Вырастив несколько токенов MEOW, он выводит UNI.
«Джо не знал, что после разрешения смарт-контракта мог забрать токены в любое время. Даже после того, как они были выведены из проекта», — отмечает исследователь.
Jhon farms some $MEOW, and thinks, yea, I’m done with this game. I’ll pull out all my UNI and retire nowhttps://t.co/GhiRW8rqYFhttps://t.co/dQPVMyctgv
— Alex Manuskin (@amanusk_) October 5, 2020
Создатели Unicat предусмотрели в смарт-контракте бэкдор. Злоумышленники провели две транзакции на 26 000 (~$94 000) и 10 000 UNI (~$38 000). Условный Джо оказался не единственной жертвой.
So UniCat calls the setGovernance method, with a call to the UNI token, and the instruction to transfer Jhon’s tokens to the farm.
The passed tokens are then swapped to ETH on Uniswap.https://t.co/sHHVvdS24h pic.twitter.com/rGIAT7EcTp
— Alex Manuskin (@amanusk_) October 5, 2020
«$140 000 — это только с одной жертвы. Преступники сделали еще по крайней мере $50 000 на остальных. Реальная сумма может быть больше. Ее сложно оценить, так как вывод осуществлялся отдельными транзакциями», — пояснил исследователь в интервью Decrypt.
