Im Jahr 2023 wurde die neu gestartete dezentralisierte Börse Merlin um rund 1,82 Millionen US-Dollar aus ihrem Liquiditätspool erleichtert. Der Prüfer CertiK, der kurz vor dem Start der DEX eine Prüfung durchgeführt hatte, machte „skrupellose Entwickler“ für den Hack verantwortlich. In einem Tweet erklärte der Prüfer, dass „Erstuntersuchungen darauf hindeuten, dass die skrupellosen Entwickler in Europa ansässig sind und wir mit den Behörden zusammenarbeiten, um sie aufzuspüren“, und rief sie dazu auf, eine Prämie von 20% für „White Hats“ anzunehmen. Merlin selbst beschuldigte „mehrere Mitglieder des Back-End-Teams“, ihre Verträge in einem Twitter-Post geleert zu haben. In einer Erklärung, die an Decrypt gesendet wurde, sagte CertiK, dass man mit „dem verbliebenen Merlin-Team“ an einem Hilfsfonds für betroffene Benutzer arbeite.
Merlin hat noch nicht auf Anfragen von Decrypt geantwortet. Merlin, das auf zkSync, einer Ethereum Layer-2-Skalierungslösung, aufgebaut ist, startete erst vor wenigen Tagen mit dem öffentlichen Verkauf seines MAGE-Token. Kurz vor dem Start erhielt Merlin auch eine Codeprüfung von der Sicherheitsfirma für Smart Contracts CertiK – ein Schritt, den viele Kryptounternehmen als unerlässlich erachten, um die Sicherheit der Vermögenswerte der Benutzer zu gewährleisten und das Vertrauen der Kunden zu wahren. Laut CertiK, das sagte es „untersuche aktiv“ den Vorfall bei Merlin, „deuten erste Erkenntnisse auf ein potentielles Private-Key-Management-Problem hin, anstatt auf einen Exploit als Ursache.“ „Während Prüfungen private Schlüsselprobleme nicht verhindern können, betonen wir immer bewährte Praktiken für Projekte.
Sollten illegale Methoden entdeckt werden, arbeiten wir mit den entsprechenden Behörden zusammen und teilen relevante Informationen“, sagte CertiK in einem Twitter-Thread und fügte hinzu, dass man auf das Zentralisierungsrisiko von Merlin in seinem Prüfbericht hingewiesen habe. Merlin reagierte kurz darauf in einer „Entwicklerankündigung“, in der die Benutzer gebeten wurden, „verbundene Website-Zugriffe auf ihren Geldbörsen zu widerrufen“ als Vorsichtsmaßnahme. Die Börse sagte, dass sie untersuche, was geschehen sei, und dass „weitere Aktualisierungen bereitgestellt werden.“ Sicherheitsexperten für Blockchain wiesen auf „große Zentralisierungsprobleme“ bei den Smart Contracts der Merlin-DEX hin. „Obwohl wir uns noch am Anfang dieser ganzen Geschichte befinden, gibt es Anzeichen dafür, dass es große Zentralisierungsprobleme bei den Smart Contracts der Merlin-DEX gab“, sagte Gonçalo Magalhães, Smart-Contract-Ingenieur bei der Bug-Bounty-Plattform Immunefi, Decrypt.
„Konkret erlaubten die zwei Adressen im Backend-Code das Abrufen aller Mittel aus jedem Pool im Protokoll“, so Magalhães weiter. In einem Tweet behauptete eine weitere auf zkSync basierende DEX, eZKalibur, den „bösartigen Code, der für das Leeren von Mitteln verantwortlich ist“, in den Smart Contracts von Merlin identifiziert zu haben. Gemäß Magalhães von Immunefi, während CertiK einige Zentralisierungsbedenken in ihrer Prüfung hervorhob, „Es gibt keinen Hinweis auf diesen spezifischen Punkt, an dem die Gebührenempfänger-Adresse die volle Berechtigung hatte, alle Token aus den Pools abzuziehen. Dies stellt tatsächlich einen entscheidenden Singularpunkt des Fehlers dar.“ „Wenn dies wirklich ein Fall eines Kompromisses des privaten Schlüssels war, wäre dies sicherlich nicht das erste Mal“, sagte Magalhães und nannte das ordnungsgemäße Schlüsselmanagement von privilegierten Adressen in einem Protokoll eine „kritische Angelegenheit.
“ Er fügte hinzu, dass Maßnahmen wie Multisig-Geldbörsen vorteilhaft sind, aber dass „die vollständige Genehmigung des Geldtransfers auf ein einzelnes Konto diesen privaten Schlüssel zu einem begehrten Ziel für Hacker macht.“ Andy Zhou, der CEO der Prüfplattform BlockSec, ging noch einen Schritt weiter und argumentierte, dass obwohl Smart-Contract-Prüfungen hilfreich sind, um Schwachstellen zu finden und die Vermögenswerte der Benutzer im Protokoll zu schützen, „eine Aspekt ist oft unberücksichtigt und zwar was, wenn das Protokoll selbst bösartig ist“, wie die Absicht haben, „Benutzer zu überlisten.“ Auf Twitter verglich Zhou Merlin mit einer Bank, die vorab genehmigt, dass ihr Eigentümer beliebig alle Kundengelder abziehen kann. „Wenn Sie das wissen, werden Sie trotzdem Ihre Token bei der Bank einzahlen?“, fragte der CEO von BlockSec. Magalhães stimmte zu, dass die unbegrenzte Gebührenerlaubnis „etwas ist, das für die Logik des Protokolls überhaupt nicht erforderlich ist“, und erklärte gegenüber Decrypt, dass „wir erwarten würden, dass eine Prüfung dies als besorgniserregend kennzeichnet.
“ „Das ist ein weiterer Grund, warum es wichtig ist, dass mehr als eine externe Partei Ihren Code prüft. Was von einem Unternehmen übersehen wurde, könnte von einem anderen Unternehmen markiert werden“, sagte Magalhães. In seiner Erklärung an Decrypt bemerkte CertiK, dass „Prüfungen potenzielle Risiken und Schwachstellen identifizieren können, sie können jedoch böswillige Aktivitäten seitens skrupelloser Entwickler wie „Rug-Pulls“ nicht verhindern.“. Die Betreiber wurden ermutigt, nach Projekten zu suchen, die einen freiwilligen KYC-Prüfprozess durchgeführt haben.
Der Prüfer betonte auch, dass „private Schlüsselberechtigungen außerhalb des Prüfungsumfangs von Smart Contracts“ liegen, er aber weiterhin daran arbeite, betroffene Benutzer zu unterstützen und diejenigen zu jagen, die für das, was er als „Exit-Scam“ bezeichnete, verantwortlich sind.
