Verichains 주간 보안 다이제스트 | 2023년 5월 1주차

이번 주 다이제스트에서 Verichains 조사는 최근 180만 달러 규모의 Merlin DEX 러그 풀의 근본 원인을 밝혀냈습니다. 이 이벤트는 보안 공급업체에 다시 주목을 집중시켰으며 프로젝트 소유자가 보안 파트너를 결정할 때 신중하게 고려해야 할 사항을 고려했습니다.

이번 주의 사건으로 인해 DeFi 시장은 해킹으로 인해 190만 달러 이상의 손실을 입었습니다.

전개 방식

2023년 4월 26일, Wu Blockchain은 Certik을 DEX의 보안 감사자로 인용하면서 Merlin이라는 zkSync 탈중앙화 거래소(DEX) 해킹 혐의에 대해 보고했습니다 .

이에 대해 감사관은 이 사건이 보안 악용이 아닌 개인 키 관리 문제로 인해 발생했다고 제안했습니다. 멀린은 트위터를 통해 이 사건을 즉각 인정하고 사용자들에게 지갑/서명 권한에 대한 연결된 사이트 액세스를 취소할 것을 촉구했습니다.

상황이 발전하고 더 많은 정보가 공유되면서 암호화폐 커뮤니티 전체는 무슨 일이 일어났는지 불분명하고 사건의 근본 원인을 추측하기 시작했습니다.

Verichains는 독립적으로 조사합니다

공동 창업자인 Thanh Nguyen이 이끄는 Verichain의 보안 연구원들은 즉시 이 상황을 파악하고 근본 원인을 파악하기 위해 독립적인 조사를 시작했습니다.

결과를 논의하기 전에 DEX의 아키텍처를 이해하는 것이 필요합니다. Merlin DEX는 각 LP 쌍이 AMM 풀의 자산을 보유하는 ERC20 토큰인 Uniswapv2 프로토콜의 포크입니다. UniswapV2 프로토콜에서 쌍은 스왑 기능이 실행될 때마다 공장 수수료 수신자에게 수수료를 부과합니다.

Merlin DEX에 대한 조사에 따르면 MerlinFactory의 feeTo가 스왑 기능의 수수료 외에도 쌍의 모든 자산을 전송할 수 있도록 허용하는 L87-88의 한 쌍의 "백도어" 코드가 밝혀졌습니다. 우리의 평가에서는 이러한 코드의 승인이 필요한 사용 사례가 없으며 이는 명백한 보안 위험입니다.

일반적으로 백도어 취약점은 의도적으로 또는 실수로 코드에 구현될 수 있으며, 무단 액세스 권한을 얻거나 블록체인을 조작하거나 이 경우 자금을 훔치는 데 사용될 수 있습니다.

연구 결과는 공동 창립자의 트위터 계정 에서 공유되었으며, 이는 입소문이 났고 다양한 뉴스 매체에서 다루어졌습니다.

우 블록체인: https://twitter.com/WuBlockchain/status/1651153245363109889?s=20

코인텔레그래프: https://cointelegraph.com/news/certik-zksync-to-launch-compensation-plan-for-2m-merlin-dex-exploit

여파

백도어에 대한 소식이 암호화폐 커뮤니티에서 더 많은 관심을 끌자 Merlin DEX는 사건 발생 12시간 후 사후 분석을 트윗하여 악용을 인정하고 백엔드 팀의 3명의 구성원이 백도어를 포함하도록 코드를 부정하게 수정했다고 주장했습니다. 이를 사용하여 DEX의 모든 계약을 소진합니다.

Merlin DEX는 또한 보안 공급업체의 "풀 소유자가 갖는 가장 중요한 권한에 대한 감독"을 언급했습니다. 피해를 입은 피해자를 보상하려는 Merlin과 Certik의 계획에 관한 상황은 여전히 진행 중입니다.

이번 사건은 프로젝트와 암호화폐 사용자에게 보안 공급업체를 조사할 때 실사 수행의 중요성을 상기시켜 줍니다.

Verichains는 암호화폐 시장의 진실성과 투명성을 증진하는 것을 목표로 하는 독립적인 보안 회사입니다.

지난주 사건

🚨 프로젝트: AutoDonate우크라이나
⛓️ 체인: BSC
🔥 유형: 반사 토큰
💸 손실 금액: $7,000

AutoDonateUkraine이라는 토큰 프로젝트는 7,000달러에 대한 플래시론 공격을 받았습니다. 공격자는 "deliver" 기능을 활용하여 쌍에서 $ADU의 양을 늘린 후 "skim" 기능을 사용하여 초과된 $ADU을 인출했습니다. 이 작업을 여러 번 반복함으로써 공격자는 쌍의 가격을 불균형화하고 쌍에서 22 $WBNB 이익을 얻을 수 있었습니다.

🚨 프로젝트: Never Fall
⛓️ 체인: BSC
품목: 가격조작
💸 손실 금액: $74,000

BSC의 Never Fall이라는 프로젝트도 플래시론 공격을 받아 74,000의 손실을 입었습니다. 이 공격에는 160만 BUSD의 플래시론이 포함되었으며, 200K BUSD는 Never Fall 계약의 구매 기능을 통해 7550만 개의 Never Fall 토큰을 구매하는 데 사용되었습니다. 구매 기능은 사용자가 예치한 BUSD 90%와 계약에 Never Fall로 유동성을 추가하고 나머지 BUSD를 쌍으로 교환합니다. 나머지 140만 BUSD는 BUSD-Never Fall 풀에서 Never Fall로 교환되었습니다. 그런 다음 공격자는 판매 기능을 통해 보유하고 있는 Never Fall을 판매했으며, 계약에서 유동성이 제거된 후 추가된 BUSD를 사용자에게 보냈습니다.