El SushiSwap parece ser vulnerable a un bug escurridizo que podría multiplicar el poder de gobierno de alguien sin tener que adquirir nuevos tokens.

Reportado por el desarrollador Jong Seok Park el 7 de septiembre, el bug puede ser descrito como un doble gasto de gobierno.

En esencia, el gobierno de SushiSwap les permite a los poseedores de tokens delegar su poder de voto a otra entidad. Sin embargo, si ese poseedor de tokens transfiere los tokens a otra persona, el delegado sigue manteniendo su poder de gobierno. El segundo poseedor de tokens ahora puede delegar los tokens una vez más, multiplicando el poder del delegado por todo lo que sea necesario. El error es que la transferencia de los tokens no restablece los parámetros de delegación, y esto probablemente es el resultado de la agregación de las bases de código de diferentes proyectos.

Los contratos de gobierno de SushiSwap en gran parte son una bifurcación del gobierno de Yam, el cual a la vez es una bifurcación de Compound. Sin embargo, al mirar el código fuente de Github de SushiSwap, parece que el contrato inteligente del token solo modificó la función "menta" de la implementación estándar de los contratos ERC-20 de OpenZeppelin. Yam, por otra parte, utilizó una implementación específica del estándar que tiene una función "moveDelegates" llamada a transferir.

En una conversación con Cointelegraph, el CEO de FTX y ahora líder de SushiSwap, Sam Bankman-Fried, confirmó la existencia del bug. Señaló que "no representa un problema inmediato para Sushi" ya que el gobierno aún no se ha activado.

Si se detecta el bug antes de su lanzamiento en vivo, el equipo puede trabajar en soluciones para arreglarlo. Bankman-Fried cree que el problema debería ser solucionable sin tener que migrar el proyecto a nuevos contratos, pero el equipo "sigue investigando".

Es interesante observar que SushiSwap fue revisado y auditado apresuradamente por múltiples empresas a medida que el proyecto aumentaba su popularidad. Aunque uno de los temas involucra la misma función de "moveDelegates" que está en juego aquí, parece ser un tipo diferente de bug. No sería la primera vez que las auditorías no detectan algunos problemas, lo que pone de relieve la necesidad de que toda la comunidad de desarrollo contribuya a mantener seguros los contratos inteligentes de DeFi.

El mismo SushiSwap actualmente está tambaleándose por las secuelas de que su fundador anónimo saltó del barco con un "devfund" en tokens SUSHI valorados en USD 27 millones en algún momento.

La pretendida migración de liquidez de Uniswap todavía está por continuar con nuevos contratos de migración, pero la decisión anterior del Chef Nomi fue cancelada.

No dejes de leer: