天眼深度 | 3.5亿美元的 SushiSwap 漏洞得到安全修补

　　据白帽黑客 Samczsun在推特上发表的消息，一个使超过3.5亿美元的以太坊处于风险之中的SushiSwap漏洞已经被安全修补。

　　漏洞可能导致合约枯竭

　　当 Samczun 正在审查 DutchAuction 合约时，白黑客发现 InitMarket 和 InitAuction 函数缺乏访问控制。同时Samczun 也验证了initAccessControls 函数合约尚未初始化的问题。该安全漏洞涉及SushiSwap的MISO平台，开发人员可以使用MISO来推出新的代币，类似于ICO。

　　在另一篇博文中，Samczsun表示，他偶然在该平台上看到了关于一个加价的讨论。从那里，他决定在Etherscan上检查项目的代码。

　　Samczsun注意到MISO的一个批处理库中存在一个漏洞。本质上，这个漏洞错误地处理了失败的交易。合约没有拒绝超过拍卖硬上限的交易，而是将交易退还给用户。这可能允许攻击者从SushiSwap中抽取资金，达到每个拍卖的硬上限。相比之下，这个漏洞与导致在DEFI期权交易平台Opyn一个黑客去年。在那次攻击中，黑客偷走了 371,000 美元的USDC。

　　Samczsun和 SushiSwap 团队试图通过使用闪贷购买分配的资金，完成拍卖，然后用拍卖的资金偿还闪贷来修补漏洞。

　　由于存在以不同方式工作且不易受到漏洞利用的并发批量拍卖，该计划变得更加复杂。这次拍卖的规模要小得多，只有 800 万美元，因此团队决定通过修复来挽救有风险的拍卖中的 3.5 亿美元。

　　Samczsun指出，即使有人因我们被迫停止荷兰式拍卖而被告知并在批量拍卖中发现了漏洞，我们仍然会节省大部分资金。该团队找到了一种暂停批量拍卖的方法，然后继续从有风险的拍卖中收回资金。