CertiK et zk-Sync DEX Merlin explorent un plan de remboursement de 2 millions de dollars pour les victimes de Rugpull

La société de sécurité Blockchain CertiK et l'échange décentralisé zk-Sync (DEX) Merlin travaillent à un plan de remboursement des utilisateurs touchés par un récent exploit qui a drainé près de 2 millions de dollars de ce dernier.

Merlin a révélé jeudi que l'incident, qui était largement considéré comme un exploit, était en fait un coup dur de la part de plusieurs membres voyous de son équipe de développeurs back-end, qui ont manipulé le code du protocole pour atteindre leur objectif.

CertiK et Merlin pour indemniser les victimes

Rappelons que le pool de liquidités de Merlin a été vidé mercredi, quelques heures après que CertiK a audité le code du protocole. Le DEX procédait à la vente publique de son jeton natif, MAGE, lorsqu'un attaquant a exécuté le piratage.

As CryptoPotato rapporté, CertiK a déclaré qu'une analyse de l'événement suggérait qu'un problème de gestion de clé privée pouvait avoir conduit à l'incident. La société de sécurité a révélé qu'elle avait souligné un risque de centralisation lors de l'audit effectué lundi et a recommandé à Merlin de passer à des mécanismes décentralisés pour éviter les points uniques de défaillance des clés.

Après une analyse plus approfondie, Merlin et CertiK ont découvert que le piratage était un travail d'initié de l'équipe du protocole. L'équipe back-end a mis en place une fonction d'action d'appel qui leur a donné le pouvoir sur les contrats et toutes les paires de négociation dans les pools de liquidité.

Les développeurs ont également pu manipuler les contrats frontaux et l'hébergeur Web de Merlin, leur permettant d'exécuter plusieurs transactions en chaîne qui ont drainé la vente publique.

Notre priorité inébranlable est de restituer tous les fonds aux parties et participants concernés sur la plateforme Merlin dans les meilleurs délais. Pour cela, nous collaborons avec @Certik (Team DOXX par Prospero et Alatar Recovery Plan) pour rembourser tous les utilisateurs concernés.

– Merlin (@TheMerlinDEX) 26 avril 2023

Une prime de chapeau blanc de 20 %

Alors que Merlin et CertiK élaborent un plan d'indemnisation, ils ont également informé les autorités compétentes de l'incident et de l'endroit où se trouvait l'équipe technique malhonnête. L'équipe de back-end a été localisée en Serbie, en Europe, et les autorités locales ont été informées.

Le protocole a également recruté des analystes en chaîne pour surveiller le mouvement des fonds. Les biens volés ont été suivi à deux portefeuilles et étaient toujours là au moment de la rédaction.

Pendant ce temps, CertiK a présenté les développeurs une prime de chapeau blanc de 20%, les exhortant à l'accepter pour éviter la colère de la loi.