​​Eksploitasi atau Tarik Permadani? $1.8 Juta Dikuras Dari zkSync DEX Merlin Meskipun Ada Audit

​​Eksploitasi atau Tarik Permadani? $1.8 Juta Dikuras Dari zkSync DEX Merlin Meskipun Ada Audit

Stempel Waktu: 26 April 2023 5:05

DEX yang diaudit CertiK kehilangan jutaan dolar dari kumpulan likuiditasnya selama penjualan publik token MAGE-nya.

Eksploitasi atau Tarik Permadani? $1.8 Juta Dikuras Dari zkSync DEX Merlin Meskipun Audit Intelijen Data PlatoBlockchain. Pencarian Vertikal. Ai.

Foto oleh Markus Spiske di Unsplash

Crypto senilai lebih dari satu juta dolar diekstraksi dari pertukaran terdesentralisasi (DEX) berbasis zkSync Merlin. 

Data blockchain menunjukkan bahwa USDC, ETH, dan mata uang kripto lainnya senilai sekitar $1.8 juta telah terkuras dari Merlin tidak lama setelah dimulainya prapenjualannya. 

Awal bulan ini, tim Merlin tersebut bahwa kumpulan pertanian intinya dan penjualan publik hanya akan diluncurkan setelah perusahaan keamanan blockchain CertiK menyelesaikan auditnya atas kontrak pintar protokol. 

Audit CertiK tidak menemukan masalah kritis dan Merlin meluncurkan penjualan publik tiga hari yang menawarkan token MAGE untuk menghasilkan likuiditas – sesuatu yang ternyata berumur pendek mengingat dana tersebut dihapus dari kumpulan likuiditas protokol kurang dari sehari setelah mereka ditayangkan.

CertiK membahas eksploit dalam pernyataan yang diposting ke Twitter, mengatakan bahwa akar penyebab kemungkinan terkait dengan manajemen kunci pribadi yang tidak memadai daripada eksploit eksternal.

Namun, beberapa pengamat insiden tersebut merasa sulit untuk percaya bahwa kode berbahaya dalam kontrak pintar Merlin dilewatkan oleh auditor blockchain. 

“Dua baris kode dalam fungsi inisialisasi ini pada dasarnya memberikan persetujuan untuk alamat feeTo untuk mentransfer jumlah token256 dan token0 yang tidak terbatas (type(uint1).max) dari alamat kontrak,” tweeted eZKalibur, DEX berbasis zkSync lainnya.

“Dalam hal ini, alamat feeTo berpotensi memanggil fungsi transferFrom pada masing-masing token untuk mentransfer token dari alamat kontrak ke dirinya sendiri,” tambah mereka. 

Pada dasarnya, basis kode tampaknya menyertakan fungsi yang memungkinkan pemilik mentransfer semua dana dari kumpulan likuiditas yang terbentuk, menunjuk ke pekerjaan orang dalam.

Namun, tidak seperti tarikan permadani biasa di industri di mana proyek menghapus semua jejak kehadiran online-nya, para pengembang Merlin tweeted meminta pengguna untuk mencabut izin dompet mereka sebagai tindakan pencegahan. 

Beberapa pengguna percaya bahwa exploit itu direncanakan dan diatur sendiri oleh pendiri proyek, sementara anggota tim lainnya tidak tahu apa-apa. Pada saat penulisan, tidak jelas pihak mana yang terlibat. 

Stempel Waktu:

Lebih dari Tidak dirantai