Hier 26 avril devait être un grand jour pour le protocole Merlin, avec le lancement de son token MAGE. Mais un hacker, par un tour de magie propre à la blockchain, a vidé les pools de liquidité du DEX. En retirant environ 850 000 dollars en USD Coin (USDC) et d’autres fonds en ether (ETH) et en tokens MAGE, son exploit a forcé l’équipe à interrompre la vente publique de ses tokens. Et pourtant, la très réputée société CertiK avait donné son feu vert pour le déploiement du contrat intelligent incriminé …
CertiK reconnaît ses torts dans le hack du protocole Merlin
Retour sur la journée d’hier et le hack qui a touché le protocole d’échange décentralisé Merlin. Ce DEX, tout récent, est hébergé sur zkSync, une solution de mise à l’échelle de la couche 2 pour Ethereum. Merlin se distingue des autres DEX par sa capacité à supporter à la fois des échanges volatils (style Uniswap) et stables (style Curve), en minimisant les frais. Le DEX Merlin propose également à ses utilisateurs de déposer des fonds dans ses pools de liquidité, leur versant des récompenses dans son token natif MAGE.
Le protocole a été lancé après avoir reçu le feu vert de la très réputée société de sécurité blockchain CertiK. Hier, l’équipe organisait donc une vente publique de son token maison, le MAGE. Mais un hacker est venu jouer les trouble-fête, en vidant le pool de liquidité du protocole. Il est parvenu à siphonner environ 1,82 million de dollars à l’aide de deux adresses : une première adresse (0x2744…) a accueilli 850 000 USDC, tandis que la seconde (0x2744d62 …) a reçu 844 000 USDC.
Le hacker aurait profité d’une faille dans la gestion des clés privées des contrats intelligents de Merlin. En accédant à ces clés, il a pris le contrôle du pool de liquidité et transféré les fonds vers son adresse. Très rapidement, les regards se sont tournés vers CertiK. Comment un tel hack a pu survenir, alors que CertiK n’avait pas détecté de faille critique dans le code du protocole ?
We’re actively investigating the @TheMerlinDEX incident. Initial findings point to a potential private key management issue rather than an exploit as the root-cause.
While audits cannot prevent private key issues, we always highlight best practices to projects.
Should any foul…
— CertiK (@CertiK) April 26, 2023
2 millions pour indemniser les utilisateurs
CertiK a affirmé que son audit ne pouvait raisonnablement pas prévenir les problèmes liés aux clés privées. Sauf qu’un autre DEX basé sur zkSync, nommé eZkalibur, a affirmé avoir identifié le code malveillant responsable du piratage et a remis en cause la qualité de l’audit de CertiK. Selon eZkalibur, le code permettait à une adresse contrôlée par les développeurs de Merlin de transférer une quantité illimitée de tokens depuis le contrat du protocole …
CertiK a annoncé une collaboration avec Merlin et zkSync pour rembourser les déposants lésés. Conséquence, Merlin a suspendu le lancement des pools de farming et la vente publique de ses tokens MAGE jusqu’à ce qu’une nouvelle vérification soit bouclée.
Cette annonce peut sembler rassurante pour les victimes du piratage, mais elle soulève aussi de nombreuses questions. CertiK est pourtant une société reconnue dans le domaine de la sécurité blockchain, qui a audité plus de 1 000 projets et qui dispose d’une équipe d’experts qualifiés. CertiK affirme qu’elle va essayer de retrouver le hacker et lui demander de restituer une partie des fonds volés. Mais cela suffit-il à restaurer la confiance des utilisateurs envers CertiK et ses audits ?
Pendant ce temps, les fonds bougent déjà. L’adresse 0x2744…9b7 a transféré ses 850 000 USDC vers l’adresse 0x2744…606e, qui les a envoyés vers le réseau Ethereum via le pont zkSync. L’adresse 0x2744d62…9b7 a elle aussi transféré ses 844 000 USDC vers l’adresse 0x2744…606e, qui une nouvelle fois a fait appel au pont zkSync. Peu de temps après, l’adresse 0x2744…606e a envoyé une partie de ses 1,694 million USDC vers les plateformes d’échange MEXC Global et Binance.
Sources : CoinDesk
Sur le même sujet :
- Un hack touche le protocole Merlin (sur zkSync), le jour de son lancement !
- Entre hacks de clés privées et scam tokens, les 5 types de piratage qui ont coûté des fortunes aux investisseurs en 2022
Share
David Ville
