Hackers stelen $8 miljoen in Ethereum via Uniswap phishing-aanval

Hackers stalen meer dan 7.500 in Ethereum (ETH) nadat ze toegang hadden gekregen tot Uniswap-lp’s via een kwaadaardig Airdrop-contract.

Zo gingen de hackers te werk

Een phishing-scam met een frauduleuze airdrop slaagde er maandag in om Uniswap-gebruikers van bijna $8 miljoen aan fondsen te beroven.

De scam beloofde een gratis airdrop van 400 UNI-tokens (ter waarde van ongeveer $2.200). Gebruikers werd gevraagd om hun crypto-wallets aan te sluiten en de transactie te ondertekenen om de airdrop te claimen. Na de verbinding stal de onbekende hacker gebruikersgelden via een kwaadaardig smart contract.

Volgens gegevens van Etherscan hebben meer dan 74.000 wallets gebruik gemaakt van het smart contract.

Volgens Etherscan heeft de hacker op 11 juli een kwaadaardig smart contract ingezet. De code is echter niet geverifieerd voor het smart contract dat op Etherscan is geïmplementeerd – iets wat de meeste legitieme projecten doen.

Na de implementatie misleidde de hacker gebruikers om een transactie te ondertekenen. In plaats daarvan diende deze transactie als een goedkeuringstransactie, waardoor de hacker toegang kreeg tot alle Uniswap LP (Liquidity Pool)-tokens die door de gebruiker werden bewaard.

Telkens wanneer gebruikers liquiditeit toevoegen aan Uniswap, ontvangen ze in ruil daarvoor LP-tokens als een weergave van hun liquiditeitsposities. Deze tokens zijn overdraagbaar en gebruiken de ERC-721 token-standaard, net als alle andere NFT’s.

Via een goedkeuringstransactie zou een derde partij (in dit geval de hacker-wallet) dus namens de gebruiker geld kunnen uitgeven.

Na toegang te hebben gekregen heeft de hacker alle LP-tokens naar zijn wallet overgezet en alle liquiditeit van Uniswap opgenomen.

De hacker-wallet heeft bijna 7.573,94 Ethereum gewonnen door de exploit, volgens analytische informatie van Etherscan.

Crypto-gemeenschap reageert op de hack

Dit was een phishing-aanval die ertoe leidde dat sommige LP NFT’s werden afgenomen van personen die kwaadaardige transacties goedkeurden. Volledig los van het protocol.

Aldus Hayden Adams, maker van Uniswap

“Vanaf blok 151.223,32 zijn er 73.399 adressen die een kwaadaardig token toegestuurd kregen om hun activa te targeten. Dit werd gedaan door middel van een neppe $UNI-airdrop op basis van hun LP’s”, tweette Harry Denly, een beveiligingsingenieur bij Metamask.

Uren na Denly’s tweet twitterde Changpeng Zhao, CEO van Binance, ook over het probleem. Aanvankelijk beweerde hij dat het DEX-protocol werd uitgebuit.

Maar later, na verduidelijkingen van het Uniswap-team, bevestigde hij dat het inderdaad een phishing-scam was en dat het protocol veilig was. UNI is een governance-token dat in 2020 is gelanceerd waarmee houders kunnen stemmen over verschillende wijzigingen in het Uniswap-protocol.