Beosin: zkSync การวิเคราะห์เหตุการณ์ด้านความปลอดภัยทางนิเวศวิทยา DEX Merlin

星球君的朋友们

Odaily资深作者

2023-04-26 17:32 (UTC+8)

บทความนี้มีประมาณ 695 คำ การอ่านทั้งหมดใช้เวลาประมาณ 1 นาที

เงินทั้งหมดในกลุ่มสภาพคล่องของ USDC-WETH ถูกถอนออกแล้ว และผู้โจมตีได้กำไรรวมประมาณ 1.8 ล้านดอลลา

สรุปโดย AI

แหล่งที่มาดั้งเดิม:Beosin

แหล่งที่มาดั้งเดิม:เมื่อวันที่ 26 เมษายน 2023 ตามแพลตฟอร์มการรับรู้สถานการณ์ของ Beosin-Eagle Eye เหตุการณ์ด้านความปลอดภัยเกิดขึ้นที่ Merlin Dexเงินทั้งหมดในกลุ่มสภาพคล่องของ USDC-WETH ถูกถอนออกแล้ว และผู้โจมตีได้กำไรรวมประมาณ 1.8 ล้านดอลลาร์สหรัฐ

เป็นที่เข้าใจกันว่า Merlin Dex เป็นการแลกเปลี่ยนแบบกระจายอำนาจ สำหรับเหตุการณ์ด้านความปลอดภัยนี้ ทีมรักษาความปลอดภัยของ Beosin ได้วิเคราะห์เหตุการณ์เป็นครั้งแรก และผลลัพธ์จะเป็นดังนี้

ข้อมูลที่เกี่ยวข้องกับเหตุการณ์

ลองใช้หนึ่งในธุรกรรมเป็นตัวอย่างสำหรับการวิเคราะห์

0xf21bedfb0e40bc4e98fd89d6b2bdaf82f0c452039452ca71f2cac9d8fea29ab2

ที่อยู่ผู้โจมตี

0xc0D6987d10430292A3ca994dd7A31E461eb28182

0x2744d62a1e9ab975f4d77fe52e16206464ea79b7

สัญญาที่ถูกโจมตี

0x82cf66e9a45Df1CD3837cF623F7E73C1Ae6DFf1e (พูล USDC-WETH)

กระบวนการโจมตี

1. ในขั้นตอนแรก ผู้สร้างพูล (0xc0D6987d10430292A3ca994dd7A31E461eb28182) สร้างสัญญาโรงงาน (0x63E6fdAdb86Ea26f917496bEEEAEa4efb319229F) และที่อยู่ Feeto ถูกกำหนดเป็น (0xc0D6987d10430 2 92A3ca994dd7A31E461eb28182).2. ผู้โจมตีปรับใช้พูล USDC-WETH (0x82cf66e9a45Df1CD3837cF623F7E73C1Ae6DFf1e) ผ่านสัญญาจากโรงงาน

เมื่อเริ่มต้นกลุ่มแล้ว USDC และ WETH ในกลุ่มจะได้รับอนุญาตสูงสุดตามที่อยู่ Feeto ของโรงงานที่ทำสัญญา จะเห็นได้ว่า มีความเสี่ยงที่ชัดเจนในการรวมศูนย์

3. ด้วยสิทธิ์สูงสุด ผู้โจมตีจะโอนโทเค็นทั้งหมดในกลุ่ม

4. เป็นที่น่าสังเกตว่าก่อนการโจมตี ที่อยู่ของ Owner และ Feeto ของสัญญาโรงงานมีการเปลี่ยนแปลง แต่ขั้นตอนนี้ไม่จำเป็นสำหรับการโจมตี สันนิษฐานว่าอาจเป็นการดำเนินการโดยผู้โจมตีเพื่อสร้างความสับสนให้กับผู้อื่น .

ในที่สุด จะเห็นได้ว่าเงินทั้งหมดในกลุ่มสภาพคล่องของ USDC-WETH ถูกถอนออกแล้ว และผู้โจมตีได้กำไรรวมประมาณ 1.8 ล้านดอลลาร์สหรัฐ

การวิเคราะห์ช่องโหว่ทีมรักษาความปลอดภัยของ Beosin วิเคราะห์ว่าการโจมตีนี้ส่วนใหญ่ใช้

ปัญหาการรวมศูนย์ของสัญญาคู่จะเพิ่มการอนุญาตที่อยู่ Feeto ในสัญญาโรงงาน ณ เวลาที่เริ่มต้น และเงินในกลุ่มอาจถูกถอนออกเมื่อใดก็ได้ตามที่อยู่ Feeto ที่ตั้งไว้ ณ เวลาที่เริ่มต้น

การติดตามกองทุน

ผู้โจมตีเรียกฟังก์ชัน TransferFrom เพื่อถ่ายโอน 811 K USDC จากพูลไปยังที่อยู่ของผู้โจมตี 1 (0x2744d62a1e9ab975f4d77fe52e16206464ea79b7) ที่อยู่ของผู้โจมตี 2 (0xcE4ee0E01bb729C1c5d6D2327BB0F036fA2cE7E2) แยก 435.2 eth จากสัญญาโทเค็น 1 (WETH) และโอนไปยังที่อยู่ Ethereum (0xa7D481944730a88B862eB57248Cb1B2C 8aa358Ad ) และที่อยู่ (0x0b8a3ef6307049aa0ff215720ab1fc885007393d) ทำกำไรรวมประมาณ 1.8 ล้านดอลลาร์แพลตฟอร์มวิเคราะห์การต่อต้านการฟอกเงิน Beosin KYT พบว่าเงินที่ถูกขโมยยังคงถูกเก็บไว้ในที่อยู่เครือข่าย Ethereum mainnet ทั้งสองของผู้โจมตีที่กล่าวถึงข้างต้น และทีมรักษาความปลอดภัยของ Beosin จะตรวจสอบและติดตามเงินที่ถูกขโมยต่อไป