SushiSwap slachtoffer van Scavenger-aanval

Het populaire DEX-protocol SushiSwap is slachtoffer geworden van een zogenaamde ‘Scavanger’-aanval. De hacker wist hiermee van slechts 0.001 Ethereum (ETH) 81.68 ETH te maken.

Misbruik maken van fout in code

Naar verluidt probeerde de hacker 0,05% van de DIGG / WBTC-swapvergoedingen om te zetten via een DIGG ETH-pool. De hacker wist hiernamelijk een loophole te vinden met een niet eth-paar. De exploit heeft vervolgens geresulteerd in buitensporige vergoedingen voor de liquiditeitsverschaffers van de DIGG / ETH-pool.

Op deze manier kon de hacker alle handelsvergoedingen die eigenlijk bedoeld waren voor de stakers van het netwerk naar zichzelf te sturen. Door een fout in de code van het netwerk te misbruiken, kon de hacker een nieuw paar creëren met een lage liquiditeitspool. Dit heeft voor enorm hoge transactiekosten gezorgd, waarbij de vergoeding door de hacker weggenomen werd.

Naar verluidt zijn geen onderliggende LP of xSushi-posities getroffen door deze aanval. Het zou slechts gaan om de vergoedingen die nu misgelopen worden. Hiermee valt de schade voorlopig nog mee. Toch wist de hacker op deze manier ruim 81 ETH buit te maken, wat met de huidige ETH-prijs neerkomt op ongeveer €85.000.

Geïnteresseerd in het leverage traden van Bitcoin en andere crypto? Klik hier en maak een account aan op Bybit.

Kleine kwetsbaarheid in code

Volgens een DeFi-expert op Twitter zou het gaan om een scavenger hunt, ofwel een speurtocht. Het SushiSwap-team heeft inmiddels dan ook al uitgebreid onderzoek naar de exploit gedaan. Waar aan het begin gedacht werd dat het hele platform risico zou lopen, ging het slechts om een relatief kleine kwetsbaarheid. Het lijkt hiermee eerder op een slim bedachte speurtocht van de hacker dan een echte cyberaanval, waarbij hackers nog wel eens proberen zoveel mogelijk schade in een zo kort mogelijke tijd aan te richten.

Het team heeft de kwetsbaarheid hiermee gevonden en heeft hier inmiddels een oplossing voor bedacht en uitgerold. Deze kwetsbaarheid kan hiermee niet meer misbruikt worden.