Zksync Dex Merlin според одит на кода за над 1,8 милиона долара
Zksync Dex Merlin според одит на кода за над 1,8 милиона долара
Децентрализираната фондова борса (DEX) Merlin, базирана на Ethereum, използваната нулева знания (ZkSync), е загубила повече от 1,8 милиона долара при експлоатация на пулове за ликвидност, след като компанията за сигурност на интелигентния договор Certik е проверил кода си.
хакът се случи в сряда сутринта по време на публичната продажба на родния жетон на Merlin, като нападателят няколко актива, включително USD, за да прехвърли монетата (USDC) и други неликвиди.
Merlins LP съгласно одит на код
Няколко часа след експлоатацията има certik че той изследва инцидента и работи върху разбирането на нейните ефекти върху общността. Компанията за сигурност обяви, че първите му резултати показват, че проблем с администрирането на частни ключове може да доведе до хак, а не експлоатация , колкото далеч от него.
certik каза, че последният одитен доклад за Мерлин в раздела "Усилията за децентрализация" посочи риска от централизация. Компанията настояваше, че одитите не могат да предотвратят частни ключове, но винаги са гарантирали, че са подчертани по -добри практики за проекти.
Както при одита от 24 април 2023 г., certik препоръча Мерлин да подобри централизираните си роли до децентрализиран механизъм, като например много подписи, за да подобри практиките за сигурност. Компанията също поиска протоколите за изпълнение на функция на TimeLock с латентност от поне 48 часа, за да избегнат грешка в управлението на едно място. Certik също обеща да работи с отговорните органи, когато бъде открит фаул.
"Насърчаваме всички членове на общността да проверят напълно тази информация и всички одити. Докато овладяваме тази предизвикателна ситуация, бихме искали да ви уверим, че предприемаме всички необходими мерки за защита на интересите на нашата общност", каза Certik.
злокачествен код, признат
Интересно е Ezkalibur, друг Zksync Dex и LaunchPad, одобрение за прехвърляне на неограничено количество токени от адреса на договора.
📢 Извършихме някои изследвания на интелигентните договори на Merlin и идентифицирахме злокачествения код, който е отговорен за премахването на средствата.
Тези два кодови реда в функцията за инициализация по същество дават одобрението за желания адрес, неограничен (тип (uint256) .max) ... pic.twitter.com.com/miksh4hkhbhb -ezkalibur ∎ (@zkaliburdex)
Междувременно екипът на Мерлин .