Zksync Dex Merlin enligt kodrevision för över 1,8 miljoner dollar

Zksync Dex Merlin enligt kodrevision för över 1,8 miljoner dollar

Den decentraliserade börsen (DEX) Merlin baserat på Ethereum, har nollkunskapssync (ZKSync) förlorat mer än 1,8 miljoner dollar i en likviditetspoolutnyttjande efter att det smarta återkontraktsföretaget Certik hade kontrollerat sin kod.

Hack inträffade på onsdag morgon under den offentliga försäljningen av Merlins infödda token, med angriparen flera tillgångar, inklusive USD, för att skumma ner mynt (USDC) och andra illikvider.

Merlins LP enligt kodrevision

a few hours after the exploit has certik tweeted att den undersökte händelsen och arbetade med att förstå dess effekter på samhället. Säkerhetsföretaget meddelade att dess första resultat indikerade att ett problem med administrationen av privata nycklar kunde ha lett till hacket och inte en exploit så långt ifrån det.

Certik sa att den senaste revisionsrapporten för Merlin i avsnittet "Decentraliseringsinsatser" påpekade för centraliseringsrisken. Företaget insisterade på att revisioner inte kunde förhindra privata nycklar, men alltid säkerställde att bättre praxis framhölls för projekt.

som i granskningen den 24 april 2023, certik rekommenderade att Merlin förbättrade sina centraliserade roller till en decentraliserad mekanism som multisignaturväggar för att förbättra säkerhetsmetoderna. Företaget bad också protokollet att implementera en timelockfunktion med en latens på minst 48 timmar för att undvika ett enda punkt-för-nyckelhanteringsfel. Certik har också lovat att arbeta med de ansvariga myndigheterna när en foul upptäcks.

"Vi uppmuntrar alla medlemmar i samhället att helt kontrollera denna information och alla revisioner. Medan vi behärskar denna utmanande situation, skulle vi vilja försäkra er att vi vidtar alla nödvändiga åtgärder för att skydda vårt samhälls intressen," sade Certik.

malign kod erkänd

Intressant att ezkalibur, en annan zksync dex och launchpad, Den hade identifierat den maligna koden som gjorde det möjligt för hackarna att skumma Merlins pengar. DEX sa att han hittade två kodlinjer i initialiseringsfunktionen som tillhandahöll adressen till föttero godkännande för att överföra ett obegränsat belopp av tokens från kontraktsadressen.

📢 Vi har genomfört en del forskning om Merlin smarta kontrakt och identifierat den maligna koden som ansvarar för att ta bort medel.

Dessa två kodlinjer i initialiseringsfunktionen ger i huvudsak godkännandet för den önskade adressen, en obegränsad (typ (uint256) .max) ... pic.twitter

-ezkalibur ∎ (@zkaliburdex)

Under tiden MERLIN-teamet SPANDE Återkalla åtkomst till den anslutna webbplatsen i sina plånböcker medan de analyserar orsaken till utnyttjandet.