Exploits répétés de stratégies Merlin Labs

En 2021, l'optimiseur de rendement BNB Chain Merlin Labs a subi plusieurs exploits (un initial d'environ 680 K$, avec d'autres pertes lors d'incidents supplémentaires). Chacun impliquait une manipulation par prêt flash de la tarification stratégie/récompense que Merlin utilisait.

Ce qui s'est passé

Les stratégies de Merlin tiraient leurs prix de pools manipulables ; les manipulations répétées par prêts flash sur plusieurs incidents de 2021 ont drainé les réserves à chaque fois.

Pourquoi c'est important

Merlin Labs est à la fois une entrée tarification par prêt flash de BSC-2021 et une entrée multi-incidents — exploité, « corrigé », exploité à nouveau, plusieurs fois en une année. Il compresse deux des constats centraux du catalogue en un petit protocole : la répétition incessante par le cluster BSC-2021 d'une classe de bug évitable, et le verdict du multi-incident selon lequel une remédiation systémique inadéquate garantit la récurrence. Merlin n'a appris aucune des deux leçons en temps réel ; le catalogue le consigne pour que le schéma soit incontestable en agrégat.