Vulnerabilità di chiamata arbitraria attribuita agli hack da 17 milioni di dollari di SwapNet e Aperture Finance

La società di sicurezza blockchain BlockSec ha rilasciato un'analisi tecnica degli attacchi che hanno colpito due protocolli di finanza decentralizzata, causando perdite per oltre 17 milioni di dollari.

SwapNet, un aggregatore di DEX, ha subito perdite per oltre 13,4 milioni di dollari su Ethereum, Arbitrum, Base e Binance Smart Chain, mentre Aperture Finance, che gestisce posizioni di liquidità concentrata, ha perso una stima di 3,67 milioni di dollari in un incidente parallelo ma non correlato.

“I contratti della vittima espongono una capacità di chiamata arbitraria a causa di una convalida insufficiente degli input, consentendo agli aggressori di abusare delle approvazioni token esistenti e di invocare transferFrom per svuotare le attività,” BlockSec ha dichiarato in un riepilogo della propria analisi su X.

L’azienda di sicurezza ha dichiarato, “Questi incidenti servono da promemoria che la flessibilità nella progettazione dei contratti deve essere attentamente bilanciata con vincoli di chiamata rigorosi, specialmente nei sistemi closed-source dove la revisione esterna è limitata.”

Cosa c’era dietro la vulnerabilità di SwapNet?

Nel caso di SwapNet, la vulnerabilità proveniva dalla funzione 0x87395540(), che non disponeva di una corretta convalida sugli input critici. 

Sostituendo gli indirizzi del router o del pool previsti con indirizzi token come USDC, gli aggressori hanno ingannato il contratto vittima facendolo trattare i token come target di esecuzione validi. 

Ciò ha portato all’esecuzione di chiamate a basso livello con calldata controllate dall’aggressore, consentendo al contratto vittima di effettuare chiamate che permettevano all’aggressore di drenare tutte le attività approvate.

La vulnerabilità ha colpito gli utenti di Matcha Meta, un meta-aggregatore di exchange DeFi, che aveva disabilitato l’impostazione “One-Time Approval” della piattaforma e concesso un’approvazione infinita direttamente ai contratti di SwapNet.

La perdita singola più consistente è stata subita da un utente che ha perso circa $13.34 milioni. In totale, 20 utenti sono stati colpiti. L’attacco è iniziato su Base al blocco 41289829, spingendo SwapNet a mettere in pausa i contratti su Base 45 minuti dopo che l’exploit iniziale è stato rilevato. Ha anche messo in pausa i contratti su altre catene poco dopo; tuttavia, durante quella finestra, altri 13 utenti sono stati colpiti su tre catene.

Una debolezza simile ha colpito Aperture Finance

Aperture Finance, che gestisce le posizioni di liquidità Uniswap V3 per conto degli utenti, è stata vittima della stessa classe di vulnerabilità nella sua funzione 0x67b34120(). 

Quando questa funzione è stata invocata, una funzione interna 0x1d33() ha eseguito chiamate a basso livello utilizzando calldata fornite dagli utenti senza imporre vincoli rigorosi sul target della chiamata o sul selettore di funzione.

Ciò ha consentito agli aggressori di costruire calldata malevole che drenavano token ERC-20 e approvavano anche NFT delle posizioni Uniswap V3.

Gli utenti che avevano autorizzato approvazioni per le funzionalità “Instant Liquidity Management” erano quelli a rischio da questo attacco.

In un attacco rappresentativo su Ethereum, l’aggressore ha creato un contratto che invocava la funzione vulnerabile con soli 100 wei di ETH. Dopo aver avvolto i token nativi in WETH, è stata eseguita la chiamata malevola a WBTC.transferFrom(), consentendo all’aggressore di drenare i token approvati superando un controllo del saldo specificando il proprio valore di output dello swap.

Quali cambiamenti stanno apportando le piattaforme colpite? 

Gli incidenti hanno spinto entrambi i protocolli a riconsiderare il loro approccio alla sicurezza. Innanzitutto, entrambi i protocolli hanno chiesto agli utenti di revocare le approvazioni utilizzando strumenti come Revoke.cash. 

Matcha Meta ha dichiarato di aver disabilitato l’interruttore che consente agli utenti di disattivare l’One-Time Approval. Ha anche rimosso SwapNet dalla propria piattaforma fino a nuovo ordine, affermando che “Errare dalla parte della personalizzazione rispetto alla sicurezza non è un atteggiamento che permetteremo in futuro.”

Aperture Finance ha dichiarato che ha disabilitato tutte le funzionalità dell’applicazione web colpite. Per quanto riguarda gli sforzi di recupero, ha dichiarato: “Stiamo lavorando a stretto contatto con le principali società di sicurezza forense e stiamo coordinandoci con le forze dell’ordine per tracciare i fondi”, aggiungendo che sta anche istituendo canali per negoziare il ritorno dei fondi.