Merlin, el intercambio descentralizado recientemente lanzado, perdió alrededor de $ 1.82 millones de su fondo de liquidez el miércoles, y el auditor CertiK, quien completó una auditoría del DEX justo antes de su lanzamiento, culpó a los «desarrolladores deshonestos» por el ataque. En una publicación en Gorjeoel auditor dijo que «las investigaciones iniciales indican que los desarrolladores deshonestos tienen su sede en Europa, y estamos trabajando con las autoridades para localizarlos», y los instó para aceptar una recompensa de sombrero blanco del 20%. El propio Merlin acusó a «varios miembros del equipo Back-End» de agotar sus contratos en un publicación en TwitterEn un comunicado enviado a Decrypt, CertiK dijo que estaba trabajando con «el equipo restante de Merlin» y el equipo detrás de la red ZKSync en un plan de compensación para los usuarios afectados. Merlin aún no ha respondido a las solicitudes de comentarios de Decrypt. Basado en zkSync, una solución de escalado de capa 2 de Ethereum, Merlin se lanzó hace solo unos días con la venta pública de su token MAGE. Inmediatamente antes de su lanzamiento, Merlin también recibió una auditoría de código de la empresa de seguridad de contratos inteligentes CertiK, un paso que muchas empresas criptográficas consideran esencial para garantizar la seguridad de los activos de los usuarios y mantener la confianza de los clientes. Según CertiK, que dijo que es “ investigando activamente» el incidente de Merlin, «los hallazgos iniciales apuntan a un posible problema de administración de claves privadas en lugar de una explotación como la causa raíz».
1/ CertiK está explorando un plan de compensación comunitaria para cubrir los ~2 millones de dólares de fondos de usuarios perdidos en la retirada de la alfombra Merlin DEX. Las investigaciones iniciales indican que los desarrolladores deshonestos tienen su sede en Europa y estamos trabajando con las fuerzas del orden para localizarlos. ⬇️⬇️⬇️ — CertiK (@CertiK) 26 de abril de 2023
“Si bien las auditorías no pueden evitar problemas de claves privadas, siempre destacamos las mejores prácticas para los proyectos. Si se descubre algún juego sucio, trabajaremos con las autoridades correspondientes y compartiremos información relevante”, dijo CertiK en un comunicado. Hilo de Twittery agregó que ha destacado el riesgo de centralización de Merlin en su informe de auditoría.Merlin respondió al incidente poco después en un «anuncio de desarrollador», pidiendo a los usuarios que «revoquen el acceso al sitio conectado en sus billeteras» como precaución. El DEX dijo que está analizando lo que sucedió y que «se proporcionarán más actualizaciones».
Anuncio del desarrollador 📢 ¿Todos pueden revocar el acceso al sitio conectado en sus billeteras/permiso de firma https://t.co/YRxH7IUU4T Estamos analizando el exploit de nuestro protocolo y enfatizamos que todos llevan a cabo este paso como medida de precaución. Se proporcionarán más actualizaciones: Merlín (@TheMerlinDEX) 26 de abril de 2023
Problemas de centralización
Los expertos en seguridad de blockchain señalaron «problemas importantes de centralización» en los contratos inteligentes de Merlin DEX. ingeniero contratado en la plataforma de recompensas por errores Immunefi, le dijo a Decrypt. «Específicamente, se permitió que la dirección que recibía las tarifas del grupo drenara todos los fondos de cada grupo en el protocolo». Píootro DEX basado en zkSync, eZKalibur, afirmó haber identificado «el código malicioso responsable del drenaje de fondos» en los contratos inteligentes de Merlin.
📢 Investigamos un poco sobre los contratos inteligentes de Merlin e identificamos el código malicioso responsable del drenaje de fondos. Estas dos líneas de código en la función de inicialización esencialmente otorgan aprobación para la dirección feeTo para transferir un número ilimitado (type(uint256).max)… pic.twitter.com/mIksh4HkhB
— eZKalibur ∎ (@zkaliburDEX) 26 de abril de 2023
Según Magalhães de Immunefi, aunque CertiK destacó algunas preocupaciones de centralización en su auditoría, «no se menciona este punto específico, donde la dirección del destinatario de la tarifa tiene la aprobación total para retirar cada token de los grupos, lo que en realidad es un punto singular crucial de falla. «Si este fuera el caso de un compromiso de clave privada, entonces ciertamente no sería el primero», dijo Magalhães, calificando la gestión adecuada de claves de direcciones privilegiadas en un protocolo como un «asunto crítico». Las billeteras son beneficiosas, pero que «tener la aprobación total de la transferencia de fondos en una sola cuenta hace que esta clave privada sea un objetivo jugoso para los piratas informáticos de sombrero negro». para ubicar vulnerabilidades y proteger los activos de los usuarios en el protocolo, «un aspecto que generalmente se ignora es si el protocolo en sí es malicioso», como tener la intención de «usuarios rugpull». En Twitter, Zhou comparado Merlin a un banco que preautoriza que su propietario pueda retirar arbitrariamente todo el dinero de los clientes. «Si sabe esto, ¿aún depositará sus tokens en el banco?» preguntó el CEO de BlockSec.
Dame tu dinero. ¡sí, señor! Es como si un banco preautorizara que el propietario del banco puede retirar arbitrariamente el dinero de todos los clientes. Si sabe esto, ¿aún depositará sus tokens en el banco? Así es como #Esmerejón DEX funciona. pic.twitter.com/7NdyhRpjky
— Yajin (Andy) Zhou (@yajinzhou) 26 de abril de 2023
Magalhães estuvo de acuerdo en que la aprobación ilimitada del destinatario de la tarifa era «algo que no se necesitaba en absoluto para la lógica del protocolo», y le dijo a Decrypt que «esperaríamos que una auditoría haya marcado esto como preocupante». Es importante que una parte externa audite su código. Lo que una empresa pasó por alto, podría ser señalado por otra», dijo Magalhães. En su declaración a Decrypt, CertiK señaló que «si bien las auditorías pueden identificar riesgos y vulnerabilidades potenciales, no pueden prevenir actividades maliciosas por parte de desarrolladores deshonestos como tiradores de alfombras», y alentó a los usuarios a buscar proyectos que hayan realizado un proceso voluntario de verificación de KYC. El auditor también enfatizó que «los privilegios de clave privada están fuera del alcance de una auditoría de contrato inteligente», pero que seguía comprometido a ayudar a los usuarios afectados y persiguiendo a los responsables de lo que describió como una «estafa de salida».
