Thread by @KumpirMafyas

Merkeziyetsiz  dex platformu olan   DODO DEX 8 Mart 2021'de sistemindeki açık nedeniyle  2mio USD zarara uğradı .İşlemi yapan kişi  tutarın 1.8 mi usd sini iade etti .Siz bu dex in kodları nı araştırırken bir açık bulsanız ve  2mio $ hesabınıza çekseniz iade edermiydiniz? 👇👇

1-  DODO dex inin , WSZO, WCRES, ETHA ve FUSI havuzu gibi birkaç DODO V2 Crowdpool'unu hedef aldılar işlemde,

Hacker ın hesabı :
etherscan.io/address/0x368a…
👇👇👇

3-Kullanıcı sahte bir token oluşturupve init () işlevini çağırarak bununla akıllı sözleşmeyi başlattı
, ilk olarak binance dan 0.5 Ether i alıp sermaye yapıyor ve 2 mio $ ı patlatıyor. 👇👇👇

etherscan.io/tx/0x970b32a8c…

4-Saldırgan, 4 adımlı bir saldırı ile bu kusurdan yararlandı :

• Saldırgan sahte bir simge oluşturdu ve savunmasız akıllı sözleşmenin init () işlevini çağırdı
👇👇👇

5-Sözleşmenin sync () işlevini kullanarak, saldırgan sözleşmenin "rezerv" değişkenini 0 olarak ayarladı ve sıfır token bakiyesine sahip olacak şekilde ayarladı

• Saldırgan init () 'i tekrar çağırır,l ve DODO'nun havuzlarından birinden gerçek bir token a yönlendirdi

6- DODO DEX inden alınan güvenlik dersleri ;
-Bu tür güvenlik açıkları icin; yüksek kaliteli bir güvenlik denetimi şart, dexler buna ciddi bütçe ayırmalı, şuan bu konuda çok zayıflar

7- İstismarın teknik detaylarının çıkarılmasına ve güvenlik  açığını  kapatan ekip : @tzhen , @peckshield , @SlowMist , 1inch Exchange ve Binance Smart Chain (BSC) ekibinden @samczsun 

Islemi yapan kullanıcı paranın çogunu iade etti.