CertiK dan zk-Sync DEX Merlin Jelajahi Rencana Penggantian Biaya $2M untuk Korban Rugpull

Perusahaan keamanan Blockchain CertiK dan pertukaran terdesentralisasi zk-Sync (DEX) Merlin sedang mengerjakan rencana untuk mengganti uang pengguna yang terkena eksploitasi baru-baru ini yang menghabiskan hampir $ 2 juta dari yang terakhir.

Merlin mengungkapkan pada hari Kamis bahwa insiden tersebut, yang secara luas diyakini sebagai eksploitasi, sebenarnya adalah permadani yang ditarik oleh beberapa anggota nakal dari tim pengembang back-endnya, yang memanipulasi kode protokol untuk mencapai tujuan mereka.

CertiK dan Merlin untuk Memberikan Kompensasi kepada Korban

Ingatlah bahwa kumpulan likuiditas Merlin terkuras pada hari Rabu, beberapa jam setelah CertiK mengaudit kode protokol. DEX sedang melakukan penjualan publik token aslinya, MAGE, saat penyerang melakukan peretasan.

As KriptoKentang melaporkan, CertiK mengatakan analisis peristiwa tersebut menunjukkan bahwa masalah manajemen kunci pribadi mungkin telah menyebabkan insiden tersebut. Perusahaan keamanan mengungkapkan bahwa mereka telah menunjukkan risiko sentralisasi dalam audit yang dilakukan pada hari Senin dan merekomendasikan agar Merlin beralih ke mekanisme desentralisasi untuk menghindari satu titik kegagalan utama.

Setelah analisis lebih lanjut, Merlin dan CertiK menemukan bahwa peretasan tersebut adalah pekerjaan orang dalam dari tim protokol. Tim back-end menerapkan fungsi call-action yang memberi mereka kekuasaan atas kontrak dan semua pasangan perdagangan di kumpulan likuiditas.

Pengembang juga dapat memanipulasi kontrak front-end dan host web Merlin, memungkinkan mereka untuk melakukan beberapa transaksi on-chain yang menguras penjualan publik.

Prioritas kami yang tak tergoyahkan adalah mengembalikan semua dana ke pihak dan peserta yang terpengaruh di platform Merlin secepat mungkin. Untuk itu, kami bekerja sama @Certik (Tim DOXX oleh Rencana Pemulihan Prospero & Alatar) untuk mengganti semua pengguna yang terpengaruh.

— Merlin (@TheMerlinDEX) 26 April, 2023

Bounty Topi Putih 20%.

Sementara Merlin dan CertiK sedang menyusun rencana kompensasi, mereka juga telah memberi tahu otoritas terkait tentang insiden tersebut dan keberadaan tim teknis nakal tersebut. Tim back-end telah dilacak ke Serbia, Eropa, dan otoritas lokal telah diberitahu.

Protokol tersebut juga merekrut analis on-chain untuk memantau pergerakan dana. Aset yang dicuri telah dilacak ke dua dompet dan masih ada di sana pada saat penulisan.

Sedangkan CertiK punya ditawarkan para pengembang hadiah topi putih 20%, mendesak mereka untuk menerimanya untuk menghindari murka hukum.