Beosin：zkSync生態DEX Merlin安全事件分析_SIN

Author：

Time：1900/1/1 0:00:00

2023年4月26日，據Beosin-EagleEye態勢感知平臺消息，MerlinDex發生安全事件，USDC-WETH流動性池的資金已全部被提取，攻擊者獲利共約180萬美金。據了解，MerlinDex是一個去中心化交易所，關于本次安全事件，Beosin安全團隊第一時間對事件進行了分析，結果如下。事件相關信息

我們以其中一筆交易為例進行分析攻擊交易0xf21bedfb0e40bc4e98fd89d6b2bdaf82f0c452039452ca71f2cac9d8fea29ab2攻擊者地址0xc0D6987d10430292A3ca994dd7A31E461eb281820x2744d62a1e9ab975f4d77fe52e16206464ea79b7被攻擊合約0x82cf66e9a45Df1CD3837cF623F7E73C1Ae6DFf1e攻擊流程

Beosin：穩定幣協議Steadifi遭到攻擊損失約114萬美元:金色財經報道，據Beosin EagleEye監測發現，穩定幣協議Steadifi遭到攻擊,攻擊者獲取了協議部署錢包的控制權。攻擊者已將所有金庫（借貸和策略）投資組合的所有權轉移至自己控制的錢包(0x9cf71F2ff126B9743319B60d2D873F0E508810dc),目前，攻擊者已在Arbitrum和Avalanche上耗盡了所有可借出資金，并通過跨鏈橋將資產兌換成以太幣轉移到以太坊主網，被盜資金約1,140,000美元。

Steadifi正與攻擊者進行談判，提供10%的賞金以換回剩余90%的被盜資產。[2023/8/8 21:31:18]

1.第一步，池子創建者(0xc0D6987d10430292A3ca994dd7A31E461eb28182)創建了工廠合約，在初始化時Feeto地址已經被設為(0xc0D6987d10430292A3ca994dd7A31E461eb28182)。

Beosin：BASE鏈上LeetSwap中axlUSD/WETH池子遭遇價格操控攻擊分析:金色財經報道，Beosin EagleEye安全風險監控、預警與阻斷平臺監測顯示，BASE鏈上LeetSwap中axlUSD/WETH遭遇價格操控攻擊，損失金額約62萬美元。經Beosin分析攻擊的主要原因是：攻擊主要利用了pair合約中的_transferFeesSupportingTaxTokens函數，它允許任意人使用函數讓pair合約中的axlUSD轉移，導致代幣價格上升，攻擊者可以賣出代幣進行獲利。[2023/8/1 16:11:02]

Beosin：Polygon鏈上Atlantis Loans協議再度發起惡意提案:金色財經報道，區塊鏈安全審計公司Beosin旗下Beosin EagleEye安全風險監控、預警與阻斷平臺監測顯示，Polygon鏈上Atlantis Loans協議再度發起惡意提案，提案ID：18。事前2023年6月11日Atlantis Loans協議曾經因惡意提案篡改管理合約權限，替換后門合約，導致協議損失250W美元。Beosin提醒相關用戶盡快移除相關授權，防止資產損失。[2023/7/14 10:55:03]

2.攻擊者通過工廠合約部署USDC-WETH池子，池子初始化時便將池子中的USDC和WETH最大化授權給了合約工廠的Feeto地址，可以看到這存在明顯的中心化風險。

Beosin：BNBChain上THB項目遭受攻擊事件分析:10月1日消息，據Beosin EagleEye平臺監測顯示，THB項目遭受攻擊。Beosin安全團隊分析發現攻擊者0xbC62b9BA570aD783d21E5eB006F3665D3f6bBA93利用重入漏洞盜取THBR NFT，攻擊合約0xfed1b640633fd0a4d77315d229918ab1f6e612f9，攻擊交易0x57aa9c85e03eb25ac5d94f15f22b3ba3ab2ef60b603b97ae76f855072ea9e3a0

目前盜取的8個NFT任在攻擊者賬戶(0xfeD1...12f9)。[2022/10/1 18:36:58]

3.于是在有了最大授權的情況下，攻擊者轉走了該池子中的所有代幣。

4.值得注意的是，在攻擊發生之前，工廠合約的Owner和Feeto地址曾有過改動，但這一步并不是攻擊所必須的，猜測可能是攻擊者為了迷惑他人所做的操作。

最后可以看到USDC-WETH流動性池的資金已全部被提取，攻擊者獲利共約180萬美金。漏洞分析

Beosin安全團隊分析本次攻擊主要利用了pair合約的中心化問題，在初始化時最大化授權了工廠合約中的Feeto地址，而導致池子中的資金隨時可能被初始化時設定的Feeto地址提取走。資金追蹤

攻擊者調用了transferFrom函數從池子轉出了811K的USDC給攻擊者地址1。攻擊者地址2從token1合約提取了435.2的eth，通過Anyswap跨鏈后轉到以太坊地址和地址上，共獲利約180萬美元。截止發文時，BeosinKYT反洗錢分析平臺發現目前被盜資金仍存放在上述攻擊者的兩個以太坊主網地址上，Beosin安全團隊將持續對被盜資金進行監追蹤。