CertiK og zk-Sync DEX Merlin udforsker $2M refusionsplan for Rugpull-ofre

Blockchain-sikkerhedsfirmaet CertiK og zk-Sync decentraliseret udveksling (DEX) Merlin arbejder hen imod en plan for at refundere brugere, der er ramt af en nylig udnyttelse, der drænede næsten 2 millioner dollars fra sidstnævnte.

Merlin afslørede torsdag, at hændelsen, som blev anset for at være en udnyttelse, faktisk var et tæppetræk fra flere useriøse medlemmer af dets back-end udviklerteam, som manipulerede protokollens kode for at nå deres mål.

CertiK og Merlin til at kompensere ofre

Husk på, at Merlins likviditetspulje blev drænet onsdag, få timer efter, at CertiK reviderede protokollens kode. DEX foretog det offentlige salg af dets oprindelige token, MAGE, da en angriber udførte hacket.

As CryptoPotato rapporteret, sagde CertiK, at en analyse af hændelsen antydede, at et problem med administration af private nøgler kan have ført til hændelsen. Sikkerhedsfirmaet afslørede, at det havde påpeget en centraliseringsrisiko i den revision, der blev gennemført i mandags, og anbefalede, at Merlin skiftede til decentrale mekanismer for at undgå enkelte punkter med nøglefejl.

Ved yderligere analyse opdagede Merlin og CertiK, at hacket var et insiderjob fra protokollens team. Back-end-teamet implementerede en call-action-funktion, der gav dem magt over kontrakterne og alle handelspar i likviditetspuljerne.

Udviklerne var også i stand til at manipulere Merlins front-end kontrakter og webhost, så de kunne udføre adskillige on-chain transaktioner, der drænede det offentlige salg.

Vores urokkelige prioritet er at returnere alle midler til berørte parter og deltagere på Merlin-platformen ved førstkommende lejlighed. Til det formål arbejder vi sammen @Certik (Team DOXX af både Prospero & Alatar Recovery Plan) for at refundere alle berørte brugere.

— Merlin (@TheMerlinDEX) April 26, 2023

En 20% White Hat Bounty

Mens Merlin og CertiK udarbejder en kompensationsplan, har de også informeret relevante myndigheder om hændelsen og opholdsstedet for det useriøse tekniske team. Back-end-teamet er blevet sporet til Serbien, Europa, og lokale myndigheder er blevet underrettet.

Protokollen har også rekrutteret on-chain analytikere til at overvåge bevægelsen af ​​midlerne. De stjålne aktiver har været spores til to tegnebøger og var der stadig i skrivende stund.

I mellemtiden har CertiK tilbydes udviklerne en dusør på 20 % hvid hat og opfordrede dem til at acceptere den for at undgå lovens vrede.