Nově spuštěná decentralizovaná burza Merlin přišla ve středu o přibližně 1,82 milionu dolarů ze svého fondu likvidity a auditor CertiK, který dokončil audit DEX těsně před jejím spuštěním, obvinil z hackerského útoku „nepoctivé vývojáře“.
V příspěvku na Twitteru auditor uvedl, že „počáteční vyšetřování naznačují, že nepoctiví vývojáři sídlí v Evropě, a my spolupracujeme s orgány činnými v trestním řízení na jejich vypátrání,“ a vyzval je, aby přijali 20% white hat odměnu. Samotná společnost Merlin ve svém příspěvku na Twitteru obvinila „několik členů týmu Back-End“ z odčerpávání zakázek.
V prohlášení zaslaném TCN společnost CertiK uvedla, že spolupracuje se „zbývajícím týmem Merlin“ a týmem stojícím za sítí ZKSync na kompenzačním plánu pro postižené uživatele. Společnost Merlin na žádost TCN o komentář zatím neodpověděla.
Merlin, postavený na zkSync, řešení pro škálování na druhé vrstvě Etherea, byl spuštěn teprve před několika dny veřejným prodejem tokenu MAGE. Bezprostředně před svým spuštěním Merlin také obdržel audit kódu od bezpečnostní firmy CertiK zabývající se chytrými kontrakty – krok, který mnoho kryptografických firem považuje za zásadní pro zajištění bezpečnosti aktiv uživatelů a udržení důvěry zákazníků.
Podle společnosti CertiK, která uvedla, že incident s Merlinem „aktivně vyšetřuje“, „počáteční zjištění ukazují spíše na potenciální problém se správou soukromých klíčů než na exploit jako na hlavní příčinu.“
1/ Společnost CertiK zkoumá plán kompenzace pro komunitu, který by pokryl ~2 miliony dolarů z prostředků uživatelů, o které přišli v důsledku stažení koberce Merlin DEX. Z počátečního vyšetřování vyplývá, že nepoctiví vývojáři sídlí v Evropě, a my spolupracujeme s orgány činnými v trestním řízení na jejich vypátrání.
⬇️⬇️⬇️
– CertiK (@CertiK) 26. dubna 2023
„Přestože audity nemohou zabránit problémům se soukromými klíči, vždy upozorňujeme projekty na osvědčené postupy. V případě odhalení jakýchkoli nekalých praktik budeme spolupracovat s příslušnými orgány a sdílet příslušné informace,“ uvedla společnost CertiK ve vlákně na Twitteru a dodala, že ve své zprávě z auditu upozornila na riziko centralizace společnosti Merlin.
Společnost Merlin na incident krátce poté reagovala v „oznámení pro vývojáře“, v němž uživatele požádala, aby preventivně „zrušili přístup k připojeným stránkám na svých peněženkách“.
DEX uvedl, že analyzuje, co se stalo, a že „budou poskytnuty další aktualizace.“
Vývojářské oznámení
Může každý zrušit přístup k připojeným stránkám na svých peněženkách/povolení k podpisu https://t.co/YRxH7IUU4T
Analyzujeme zneužití našeho protokolu a rádi bychom zdůraznili, aby každý tento krok provedl jako prevenci.
Další aktualizace budou poskytnuty
– Merlin (@TheMerlinDEX) 26. dubna 2023
Otázky centralizace
Odborníci na bezpečnost blockchainu poukázali na „velké problémy s centralizací“ chytrých kontraktů Merlin DEX.
„Ačkoli jsme v celém příběhu ještě na začátku, existují náznaky, že na chytrých kontraktech Merlin DEX byly velké problémy s centralizací,“ řekl TCN Gonçalo Magalhães, inženýr pro chytré kontrakty na platformě Immunefi pro odměny za chyby. „Konkrétně adresa, která přijímala poplatky z poolu, mohla odčerpat všechny prostředky z každého poolu v protokolu.“
Další DEX založený na zkSync, eZKalibur, ve svém tweetu uvedl, že identifikoval „škodlivý kód zodpovědný za odčerpávání prostředků“ v chytrých kontraktech Merlin.
Provedli jsme výzkum chytrých kontraktů Merlin a identifikovali jsme škodlivý kód zodpovědný za odčerpávání finančních prostředků.
Tyto dva řádky kódu ve funkci inicializace v podstatě udělují souhlas s převodem neomezeného (type(uint256).max) počtu poplatků na adresu feeTo… pic.twitter.com/mIksh4HkhB
– eZKalibur ∎ (@zkaliburDEX) 26. dubna 2023
Podle Magalhãese ze společnosti Immunefi sice CertiK ve svém auditu zdůraznila některé obavy ohledně centralizace, „není však zmíněn tento konkrétní bod, kdy má adresa příjemce poplatku plný souhlas ke stažení každého tokenu z poolu – což je vlastně zásadní singulární bod selhání.“.
„Pokud by se skutečně jednalo o kompromitaci soukromého klíče, pak by to rozhodně nebylo poprvé,“ řekl Magalhães a označil správnou správu klíčů privilegovaných adres protokolu za „kritickou záležitost“. Dodal, že zmírňující opatření, jako jsou multisig peněženky, jsou prospěšná, ale že „mít na jediném účtu plný souhlas s převodem finančních prostředků činí z tohoto soukromého klíče šťavnatý cíl pro blackhat hackery.“
Andy Zhou, generální ředitel auditní platformy BlockSec, šel ještě o krok dál a tvrdil, že audity chytrých smluv jsou sice užitečné pro lokalizaci zranitelností a ochranu majetku uživatelů v protokolu, ale „jeden aspekt, který se obvykle ignoruje, je, co když je samotný protokol škodlivý“, například má v úmyslu „vytáhnout uživatele z koberce“.
Zhou na Twitteru přirovnal Merlin k bance, která předem povoluje, že její majitel může svévolně vybrat všechny peníze zákazníků.
„Pokud to víte, budete své tokeny stále ukládat do banky?“ zeptal se generální ředitel společnosti BlockSec.
Dejte mi své peníze. ano, pane!
Je to, jako by banka předem schválila, že majitel banky může libovolně vybrat peníze všech zákazníků.
Pokud to víte, budete přesto do banky vkládat své žetony?
Přesně tak funguje Merlin DEX. pic.twitter.com/7NdyhRpjky
– Yajin (Andy) Zhou (@yajinzhou) 26. dubna 2023
Magalhães souhlasil s tím, že schválení neomezeného počtu příjemců poplatků je „něco, co pro logiku protokolu není vůbec potřeba“, a řekl TCN, že „bychom očekávali, že to audit označí za znepokojující“.
„To je dalším důvodem, proč je důležité mít více než jednu externí stranu, která provádí audit vašeho kódu. To, co přehlédla jedna firma, by mohla označit jiná,“ řekl Magalhães.
Společnost CertiK ve svém prohlášení pro TCN poznamenala, že „audity sice mohou identifikovat potenciální rizika a zranitelnosti, nemohou však zabránit škodlivým aktivitám ze strany nepoctivých vývojářů, jako je například vytahování koberců,“ a vyzvala uživatele, aby vyhledávali projekty, které provedly dobrovolné prověření KYC. Auditor také zdůraznil, že „privilegia soukromých klíčů jsou mimo rozsah auditu chytrých smluv“, ale že je i nadále odhodlán pomáhat postiženým uživatelům a pátrat po osobách zodpovědných za to, co označil za „podvod s odchodem“.
