Неизвестный пользователь потерял $140 000 в токенах децентрализованной биржи Uniswap после размещения в пуле проекта UniCats. Эту историю рассказал исследователь ZenGo Алекс Манускин.
If you are not yet convinced that you should NOT be approving infinite tokens to some random smart contract/Dapp, here’s a story of how Jhon Doe lost $140K worth of UNI in their sleep.
1/
? pic.twitter.com/QltkevnzDY— Alex Manuskin (@amanusk_) October 5, 2020
По его словам, условный некий Джо наткнулся на причудливую схему доходного фермерства под названием UniCats.
Желая повторить успех yEarn Finance (YFI), пользователь решает внести немного UNI.
В результате пришло сообщение от MetaMask: «позвольте этому dapp потратить ваш UNI». Полагая, что это нормальная практика всех похожих DeFi-протоколов, Джо согласился.
Jhon decides to deposit some $UNI, and gets the good old “Allow this Dapp to spend your UNI” message from Metamask, and thinks. “Oh, this again. Yeah, all the farming Dapps do that, why not ?♂️”
And approves the transaction pic.twitter.com/qhghToDC0s
— Alex Manuskin (@amanusk_) October 5, 2020
Вырастив несколько токенов MEOW, он выводит UNI.
«Джо не знал, что после разрешения смарт-контракта мог забрать токены в любое время. Даже после того, как они были выведены из проекта», — отмечает исследователь.
Jhon farms some $MEOW, and thinks, yea, I’m done with this game. I’ll pull out all my UNI and retire nowhttps://t.co/GhiRW8rqYFhttps://t.co/dQPVMyctgv
— Alex Manuskin (@amanusk_) October 5, 2020
Создатели Unicat предусмотрели в смарт-контракте бэкдор. Злоумышленники провели две транзакции на 26 000 (~$94 000) и 10 000 UNI (~$38 000). Условный Джо оказался не единственной жертвой.
So UniCat calls the setGovernance method, with a call to the UNI token, and the instruction to transfer Jhon’s tokens to the farm.
The passed tokens are then swapped to ETH on Uniswap.https://t.co/sHHVvdS24h pic.twitter.com/rGIAT7EcTp— Alex Manuskin (@amanusk_) October 5, 2020
«$140 000 — это только с одной жертвы. Преступники сделали еще по крайней мере $50 000 на остальных. Реальная сумма может быть больше. Ее сложно оценить, так как вывод осуществлялся отдельными транзакциями», — пояснил исследователь в интервью Decrypt.
Не купил крипту по низу рынка?
Попробуй свои силы бесплатно и выигрывай криптовалюту в лучших рекомендованных казино! Наш сайт wheretospin.com предлагает не только лучшие обзоры казино, но и возможность испытать удачу в захватывающих играх.
Присоединяйся прямо сейчас и начни путь к финансовой свободе с WhereToSpin!
Middle East
wheretospininkuwait.com provides a comprehensive selection of trusted online casino reviews for the Middle East أفضل كازينو على الإنترنت. The platform features well-established casinos supporting crypto deposits in the region, including Dream Bet, Haz Casino, Emirbet, YYY Casino, and Casinia.
South Africa and New Zealand
In the South African online casino market, wheretospin.co.za highlights top-rated platforms and online casinos such as True Fortune Casino and DuckyLuck. Meanwhile, for New Zealand players, wheretospin.nz showcases highly recommended casinos, including Casinia, Rooster.bet, and Joo Casino.