CertiK ja zk-Sync DEX Merlin uurivad Rugpulli ohvrite 2 miljoni dollari suurust hüvitamiskava

Blockchaini turvafirma CertiK ja zk-Sync detsentraliseeritud börs (DEX) Merlin töötavad plaani nimel, et hüvitada kasutajatele, keda mõjutas hiljutine ärakasutamine, mis kulutas viimaselt peaaegu 2 miljonit dollarit.

Merlin paljastas neljapäeval, et intsident, mida laialdaselt peeti ärakasutamiseks, oli tegelikult vaiba tõmbamine mitme taustaarendaja meeskonna petturi poolt, kes manipuleerisid oma eesmärgi saavutamiseks protokolli koodiga.

CertiK ja Merlin ohvritele kahju hüvitama

Tuletame meelde, et Merlini likviidsuskogum tühjenes kolmapäeval, mõni tund pärast seda, kui CertiK protokolli koodi auditeeris. DEX korraldas oma algse märgi MAGE avalikku müüki, kui ründaja sooritas häkkimise.

As Krüptokartul teatatudCertiK ütles, et sündmuse analüüs näitas, et vahejuhtumini võis põhjustada privaatvõtme haldamise probleem. Turvafirma avalikustas, et juhtis esmaspäeval läbiviidud auditis tähelepanu tsentraliseerimisriskile ning soovitas Merlinil minna üle detsentraliseeritud mehhanismidele, et vältida võtmete üksikuid rikkekohti.

Edasise analüüsi käigus avastasid Merlin ja CertiK, et häkkimine oli protokolli meeskonna siseringi töö. Tagameeskond rakendas call-action funktsiooni, mis andis neile võimu likviidsuskogumi lepingute ja kõigi kauplemispaaride üle.

Arendajad said manipuleerida ka Merlini esiotsa lepingute ja veebihostiga, võimaldades neil teostada mitmeid ahelasiseseid tehinguid, mis tühjendasid avaliku müügi.

Meie vankumatu prioriteet on tagastada kõik raha esimesel võimalusel Merlini platvormil toimunud osapooltele ja osalejatele. Selle nimel teeme koostööd @Certik (Prospero ja Alatari taastamisplaani meeskond DOXX), et hüvitada kõikidele mõjutatud kasutajatele.

— Merlin (@TheMerlinDEX) Aprill 26, 2023

20% valge mütsi bounty

Sel ajal, kui Merlin ja CertiK töötavad välja hüvitiste plaani, on nad teavitanud juhtunust ja võltsitud tehnilise meeskonna asukohast ka asjaomaseid ametiasutusi. Tagatiim on leitud Serbiast, Euroopast ja kohalikke ametiasutusi on teavitatud.

Protokoll on värvanud ka ahelasiseseid analüütikuid, et jälgida rahade liikumist. Varastatud vara on olnud jälgida kahele rahakotile ja olid kirjutamise ajal veel seal.

Vahepeal on CertiK pakutud arendajad 20% valge mütsi pearaha, ärgitades neid seaduseviha vältimiseks sellega nõustuma.