Menurut peneliti ZenGo Alex Manuskin; setidaknya salah satu penggunanya kehilangan token UNI Uniswap senilai lebih dari $ 140.000; bahkan setelah mereka menghapus dana mereka dari protokol. Pengguna lain kehilangan sekitar $ 50.000 lebih, kata Manuskin.
If you are not yet convinced that you should NOT be approving infinite tokens to some random smart contract/Dapp, here’s a story of how Jhon Doe lost $140K worth of UNI in their sleep.
1/
👇 pic.twitter.com/QltkevnzDY— amanusk (@amanusk_) October 5, 2020
Pengguna menjadi korban praktik berbahaya protokol DeFi, di mana sebagian besar protokol akan meminta otorisasi untuk menarik token tertentu dalam jumlah tak terbatas dari wallet pelanggan.
Aplikasi terdesentralisasi seperti Compound, Uniswap, Kyber, dan lainnya sering kali menampilkan tunjangan tak terbatas. Ini memungkinkan kontrak pintar untuk bertransaksi sebanyak token tertentu yang mereka inginkan atas nama setiap pemilik wallet.
Beberapa wallet akan memungkinkan pengguna menyesuaikan jumlah yang disetujui secara manual, meskipun ini umumnya diatur ke nilai maksimum yang mungkin secara default.
Seperti halnya dengan UniCats, Manuskin menjelaskan: “Tidak hanya penipuan, tetapi juga ingin mengejar semua token yang disetujui pengguna.”
Kontrak UniCats berisi fungsi “setGovernance” licik yang memungkinkan pemiliknya memanggil fungsi apa pun atas nama kontrak. Karena pengguna memberikan persetujuan tak terbatas untuk kontrak ini, pengembang dapat menguras seluruh saldo UNI penggunanya.
Token dijual untuk Ether (ETH), yang kemudian dikirim ke Tornado Cash untuk di mixing, membuat banyak orang mempertanyakan apakah tindakan ini direncanakan sebelumnya.
Insiden tersebut menyoroti pentingnya mendelegasikan dana hanya untuk proyek-proyek yang diperiksa dan memiliki reputasi baik.
Mekanisme persetujuan dibuat perlu dengan batasan standar ERC-20 yang digunakan untuk token Ethereum. DApps dan kontrak pintar tidak dapat mendeteksi jika pengguna telah mentransfer dana ke kontrak.
Oleh karena itu, kontrak mentransfer uang atas nama pengguna, yang memerlukan persetujuan yang telah ditentukan sebelumnya. Standar yang lebih baru seperti ERC-777 memperbaiki kekurangan ini, meskipun token jenis ini masih memiliki kerentanan dan masih dapat menjadi korban pencurian.
