2023-04-26 20:36:12

Merlin被黑是Rug Pull?分析师指官方藏后门 Certik否认审计出错

摘要
zkSync Era生态中DEX协议Merlin才刚完成审计、刚刚开始公募,就被黑180万美元,引起加密社群的议论。社群成员分析指出,此次很可能是项目方的刻意Rug Pull行为,并对负责审计Merlin的安全团队Certik提出质疑。

Merlin被黑是Rug Pull?分析师指官方藏后门 Certik否认审计出错

币圈子(120Btc.com)讯:基于零知识证明技术(ZK rollup)的以太坊L2扩容方案zkSync,在3月24日启动主网zkSync Era后,灾情频频传出,生态中的DEX协议Merlin本周稍早才刚完成审计、开启公募,就被黑180万美元,引起加密社群的议论。

社群质疑Merlin被黑是Rug Pull

随着案件延烧,根据社群用户@zkaliburDEX针对Merlin的合约进行分析,他表示此次被黑很可能是项目的内部行为:initialize函数中的有两行代码批准将uint256最大值分配给feeTo地址(部署者),在这种情况下,feeoTo地址有可能调用相应的tokentransferFrom函数,将token从合约地址转移到自己的地址。因此这很可能是项目方的内部行为。

另一名社群用户@delucinator也表示Merlin百分之百是Rug Pull(意译:跑路)。此外,他还对负责审计Merlin的安全团队Certik提出质疑:Certik对该协议进行了审计,且不像是被交换掉的前端,Certik看到了该合约中允许无限制地分配给某个随机地址,但仍然通过了它。

对此,区块链安全公司Verichains创办人Thanh Nguyen认同上述社群成员的看法,他指出「Merlin是一个明显的故意后门插入案例」。

“在Merlin代码中存在一个“后门”代码(L87-88),允许MerlinFactory的feeTo在交换函数中除了手续费外,转移交易对中的所有资产。这个后门是一个明显的安全风险,因为没有使用场景需要它的批准。CertiK必须承认其审计期间未注意到后门的代码。”

CertiK否认审计失误

针对上述的质疑,CertiK发文回应称,目前正在调查Merlin事件,初步调查结果指向一个潜在的私钥管理问题,而不是因为合约漏洞才导致协议被黑,并表示审计不能防止私钥问题。

然而,令人讽刺的是,同一日(26日)极客公园才刊文Certik创办人、哥伦比亚大学计算机系教授顾荣辉的专访,他在访谈中骄傲地表示:「CertiK几乎是靠一己之力把区块链安全变成一个赛道,吸引了很多关注,吃下安全市场70%的份额,把Web3安全审计的费用降低了90%以上。」

声明:文章不代表币圈子观点及立场,不构成本平台任何投资建议。投资决策需建立在独立思考之上,本文内容仅供参考,风险自担!转载请注明出处!侵权必究!
回顶部