2023年4月26日，据Beosin-EagleEye态势感知平台消息，MerlinDex发生安全事件，USDC-WETH流动性池的资金已全部被提取，攻击者获利共约180万美金。据了解，MerlinDex是一个去中心化交易所，关于本次安全事件，Beosin安全团队第一时间对事件进行了分析，结果如下。事件相关信息
我们以其中一笔交易为例进行分析攻击交易0xf21bedfb0e40bc4e98fd89d6b2bdaf82f0c452039452ca71f2cac9d8fea29ab2攻击者地址0xc0D6987d10430292A3ca994dd7A31E461eb281820x2744d62a1e9ab975f4d77fe52e16206464ea79b7被攻击合约0x82cf66e9a45Df1CD3837cF623F7E73C1Ae6DFf1e攻击流程
Beosin：JPEG'd 遭受攻击原因为重入攻击:金色财经报道，据Beosin安全团队分析，JPEG'd 项目遭遇攻击的根本原因在于重入，攻击者在调用remove_liquidity函数移除流动性时通过重入add_liquidity函数添加流动性，由于余额更新在重入进add_liquidity函数之前，导致价格计算出现错误。
此前报道，JPEG'd项目遭遇攻击，损失至少约1000万美元。[2023/7/31 16:07:53]
1.第一步，池子创建者(0xc0D6987d10430292A3ca994dd7A31E461eb28182)创建了工厂合约，在初始化时Feeto地址已经被设为(0xc0D6987d10430292A3ca994dd7A31E461eb28182)。
Beosin：Euler Finance攻击者转移约188万美元资金:3月17日消息，据区块链安全审计公司Beosin旗下Beosin EagleEye安全风险监控、预警与阻断平台监测显示，2023年3月16日，Euler Finance攻击者将1000个ETH和100个ETH分别转到0xc66dfa84bc1b93df194bd964a41282da65d73c9a(Euler Finance Exploiter 4)和0x098b716b8aaf21512996dc57eb0615e2383e2f96（Ronin Bridge Exploiter
）。
此前消息，2023年3月13日，DeFi借贷协议Euler Finance遭受攻击，损失近2亿美元。[2023/3/17 13:10:18]
tribeOS通过GRID平台完成证券型代币发行:广告科技公司tribeOS已通过GSX Group旗下的GRID平台完成了证券型代币发行。GSX Group首席执行官Nick Cowan强调，tribeOS是第一家使用该公司证券型代币平台GRID的公司，该公司同样欢迎其他希望“加快在资本领域采用区块链技术”的公司。（Cointelegraph）[2020/5/28]
2.攻击者通过工厂合约部署USDC-WETH池子，池子初始化时便将池子中的USDC和WETH最大化授权给了合约工厂的Feeto地址，可以看到这存在明显的中心化风险。
动态 | Beosin预警：持续警惕hardfail状态攻击 ?:Beosin（成都链安）预警，根据成都链安区块链安全态势感知系统Beosin-Eagle Eye检测发现，目前仍有不少攻击者尝试使用hard_fail 状态攻击，攻击测试目标已由交易所转向各类游戏合约，截止9号晚间10点，攻击者****wge在持续攻击中尝试混合使用正常转账交易和hardfail失败交易，在两次交易中设置同样的memo，如果项目方从节点获取交易数据时没有做好完整的交易判断，可能会因此造成损失，这种攻击尝试虽然简单但仍可能造成危害，Beosin（成都链安）提醒各项目方做好自检自查，对交易执行状态进行校验，避免不必要的损失。[2019/4/9]
3.于是在有了最大授权的情况下，攻击者转走了该池子中的所有代币。
4.值得注意的是，在攻击发生之前，工厂合约的Owner和Feeto地址曾有过改动，但这一步并不是攻击所必须的，猜测可能是攻击者为了迷惑他人所做的操作。
最后可以看到USDC-WETH流动性池的资金已全部被提取，攻击者获利共约180万美金。漏洞分析
Beosin安全团队分析本次攻击主要利用了pair合约的中心化问题，在初始化时最大化授权了工厂合约中的Feeto地址，而导致池子中的资金随时可能被初始化时设定的Feeto地址提取走。资金追踪
攻击者调用了transferFrom函数从池子转出了811K的USDC给攻击者地址1。攻击者地址2从token1合约提取了435.2的eth，通过Anyswap跨链后转到以太坊地址和地址上，共获利约180万美元。截止发文时，BeosinKYT反分析平台发现目前被盗资金仍存放在上述攻击者的两个以太坊主网地址上，Beosin安全团队将持续对被盗资金进行监追踪。
总结
针对本次事件，Beosin安全团队建议，项目方应该使用多签钱包或DAO治理来管理具有重要权限的地址，用户在进行项目交互时也要多多了解此项目是否涉及风险。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。