Beosin: zkSync エコロジカル DEX Merlin セキュリティインシデント分析

星球君的朋友们

Odaily资深作者

2023-04-26 17:32 (UTC+8)

この記事は約695文字で、全文を読むには約1分かかります

USDC-WETH の流動性プール内の資金はすべて引き出されており、攻撃者は合計約 180 万米ドルの利益を得ています。

AI要約

USDC-WETH の流動性プール内の資金はすべて引き出されており、攻撃者は合計約 180 万米ドルの利益を得ています。

元のソース:Beosin

元のソース:Beosin-Eagle Eye 状況認識プラットフォームによると、2023 年 4 月 26 日にマーリンデックスでセキュリティインシデントが発生しました。USDC-WETH の流動性プール内の資金はすべて引き出されており、攻撃者は合計約 180 万米ドルの利益を得ています。

Merlin Dex は分散型取引所であることがわかりますが、今回のセキュリティインシデントに関して、Beosin セキュリティチームが初めてインシデントを分析した結果は次のとおりです。

イベント関連情報

分析の例としてトランザクションの 1 つを取り上げてみましょう

0xf21bedfb0e40bc4e98fd89d6b2bdaf82f0c452039452ca71f2cac9d8fea29ab2

攻撃者のアドレス

0xc0D6987d10430292A3ca994dd7A31E461eb28182

0x2744d62a1e9ab975f4d77fe52e16206464ea79b7

攻撃された契約

0x82cf66e9a45Df1CD3837cF623F7E73C1Ae6DFf1e (USDC-WETH プール)

攻撃プロセス

1. 最初のステップでは、プール作成者 (0xc0D6987d10430292A3ca994dd7A31E461eb28182) がファクトリーコントラクト (0x63E6fdAdb86Ea26f917496bEEEAEa4efb319229F) を作成し、Feeto アドレスが (0xc0D6987d10430) に設定されています。 2 92A3ca994dd7A31E461eb28182）。2. 攻撃者は工場契約を通じて USDC-WETH プール (0x82cf66e9a45Df1CD3837cF623F7E73C1Ae6DFf1e) を展開します。

プールが初期化されたとき、プール内の USDC と WETH は契約工場の Feeto アドレスに対して最大限に許可されていましたが、集中化の明らかなリスクがあることがわかります。

3. したがって、攻撃者は最大の承認を使用して、プール内のすべてのトークンを転送します。

4. 攻撃前に工場契約の所有者とフィートのアドレスが変更されていることに注意してください。ただし、この手順は攻撃には必要ありません。攻撃者が他者を混乱させるために実行した操作である可能性があると推測されます。。

最後に、USDC-WETH 流動性プール内のすべての資金が引き出され、攻撃者は合計約 180 万米ドルの利益を得たことがわかります。

脆弱性分析Beosin セキュリティチームは、この攻撃は主に

ペアコントラクトの集中化の問題により、初期化時のファクトリーコントラクト内のFeetoアドレスの認可が最大化され、プール内の資金は初期化時に設定されたFeetoアドレスでいつでも引き出すことができます。

資金追跡

攻撃者は transferFrom 関数を呼び出して、811 K USDC をプールから攻撃者のアドレス 1 (0x2744d62a1e9ab975f4d77fe52e16206464ea79b7) に転送しました。攻撃者アドレス 2 (0xcE4ee0E01bb729C1c5d6D2327BB0F036fA2cE7E2) は、トークン 1 コントラクト (WETH) から 435.2 eth を抽出し、それをイーサリアムアドレス (0xa7D481944730a88B862eB57248Cb1B2C 8aa358Ad) とアドレスに転送しました。 (0x0b8a3ef6307049aa0ff215720ab1fc885007393d)、合計約 180 万ドルの利益が得られました。Beosin KYTアンチマネーロンダリング分析プラットフォームは、盗まれた資金が依然として上記の攻撃者の2つのイーサリアムメインネットアドレスに保存されていることを発見し、Beosinセキュリティチームは盗まれた資金を引き続き監視および追跡する予定です。