Beosin：zkSync生態DEX Merlin安全事件分析

原文來源：Beosin

原文來源：原文來源：原文來源：

2023 年4 月26 日，據Beosin-Eagle Eye 態勢感知平台消息，Merlin Dex 發生安全事件，

USDC-WETH 流動性池的資金已全部被提取，攻擊者獲利共約180 萬美金。

據了解，Merlin Dex 是一個去中心化交易所，關於本次安全事件，Beosin 安全團隊第一時間對事件進行了分析，結果如下。

0xf21bedfb0e40bc4e98fd89d6b2bdaf82f0c452039452ca71f2cac9d8fea29ab2

事件相關信息

0xc0D6987d10430292A3ca994dd7A31E461eb28182

0x2744d62a1e9ab975f4d77fe52e16206464ea79b7

0x82cf66e9a45Df1CD3837cF623F7E73C1Ae6DFf1e（USDC-WETH池子）

0x82cf66e9a45Df1CD3837cF623F7E73C1Ae6DFf1e（USDC-WETH池子）

攻擊流程

攻擊流程

攻擊流程攻擊流程

1.第一步，池子創建者(0xc0D6987d10430292A3ca994dd7A31E461eb28182)創建了工廠合約（0x63E6fdAdb86Ea26f917496bEEEAEa4efb319229F），在初始化時Feeto 地址已經被設為(0xc0D6987d10430292A3ca994dd7A31E461eb28182)。

2.攻擊者通過工廠合約部署USDC-WETH 池子（0x82cf66e9a45Df1CD3837cF623F7E73C1Ae6DFf1e），

池子初始化時便將池子中的USDC 和WETH 最大化授權給了合約工廠的Feeto 地址，可以看到這存在明顯的中心化風險。

4. 值得注意的是，在攻擊發生之前，工廠合約的Owner 和Feeto 地址曾有過改動，但這一步並不是攻擊所必須的，猜測可能是攻擊者為了迷惑他人所做的操作。

漏洞分析最後可以看到USDC-WETH 流動性池的資金已全部被提取，攻擊者獲利共約180 萬美金。

漏洞分析

Beosin 安全團隊分析本次攻擊主要利用了

pair 合約的中心化問題，在初始化時最大化授權了工廠合約中的Feeto 地址，而導致池子中的資金隨時可能被初始化時設定的Feeto 地址提取走。Beosin KYT 反洗錢分析平台發現目前被盜資金仍存放在上述攻擊者的兩個以太坊主網地址上，Beosin 安全團隊將持續對被盜資金進行監追踪。

總結

總結總結