SushiSwap dev refuta alegações de um risco de segurança de $1 bilhão

O hacker de chapéu branco (= um “hacker ético”) se tornou público depois que o SushiSwap falhou em agir sobre a vulnerabilidade

SushiSwap rejeitou alegações de que a plataforma de câmbio descentralizado (DEX) está em risco de uma grande violação de segurança que poderia resultar em mais de $1 bilhão em fundos de usuários roubados.

De acordo com um hacker, embora a funcionalidade forneça a retirada de tokens de provedor de liquidez (LP), ela falha quando o pool SushiSwap não contém recompensas.

O hacker alegou que leva cerca de 10 horas para que a conta de recompensas seja recarregada, com o processo manual acontecendo várias vezes por mês. Assim, mais de $1 bilhão em fundos de usuários estão em risco por cerca de 10 horas.

Mas, de acordo com o desenvolvedor Mudit Gupta, a plataforma não está vulnerável a ameaças de segurança e os fundos do usuário estão seguros. Reagindo às afirmações do hacker de chapéu branco no Twitter, o Shadowy Super-Coder observou:

"Isso não é uma vulnerabilidade. Sem fundos em risco. Se o recompensador ficar sem recompensas, retirando LP falhará, mas qualquer um (não apenas sushi) pode recarregar o recompensador em uma emergência."

O desenvolvedor sugere que o cronograma de 10 horas que o hacker de chapéu branco indica não é uma verdade absoluta e que, com qualquer um sendo capaz de reabastecer a piscina, nenhuma ameaça existe quando o recompensador fica sem fundos.

O desenvolvedor do SushiSwap também observa que as alegações de que um ator malicioso pode "drenar" o recompensador inundando-o com LP estavam incorretas. Ele esclareceu que as recompensas alocadas por token de liquidez são reduzidas quando mais LP é adicionado.

As alegações seguem o que um hacker anônimo de chapéu branco observou serem duas instâncias de vulnerabilidades na plataforma SushiSwap. De acordo com o hacker, a função EmergencyWithdraw do protocolo de finança descentralizada (DeFi), relacionada aos contratos MasterChef v2 e MiniChef v2, coloca os usuários em risco porque não funciona como planejado.

Os contratos em questão contêm recompensas e pools de tokens LP hospedados em plataformas como Binance Smart Chain (BSC), Avalanche e Polygon.

O SushiSwap não divulgou uma declaração oficial sobre as alegações, mas certamente procurará garantir aos usuários a segurança dos fundos, uma vez que o setor DeFi testemunhou recentemente vários casos de ataques.