CertiK e zk-Sync DEX Merlin esplorano il piano di rimborso da 2 milioni di dollari per le vittime di Rugpull

La società di sicurezza blockchain CertiK e l'exchange decentralizzato zk-Sync (DEX) Merlin stanno lavorando a un piano per rimborsare gli utenti colpiti da un recente exploit che ha sottratto quasi 2 milioni di dollari a quest'ultimo.

Giovedì Merlin ha rivelato che l'incidente, che era ampiamente ritenuto un exploit, era, in realtà, un tappeto tirato da diversi membri canaglia del suo team di sviluppatori back-end, che hanno manipolato il codice del protocollo per raggiungere il loro obiettivo.

CertiK e Merlin per risarcire le vittime

Ricordiamo che il pool di liquidità di Merlin è stato prosciugato mercoledì, ore dopo che CertiK ha verificato il codice del protocollo. Il DEX stava conducendo la vendita pubblica del suo token nativo, MAGE, quando un utente malintenzionato ha eseguito l'hacking.

As CryptoPotato segnalati, CertiK ha affermato che un'analisi dell'evento ha suggerito che un problema di gestione della chiave privata potrebbe aver portato all'incidente. La società di sicurezza ha rivelato di aver evidenziato un rischio di centralizzazione nell'audit condotto lunedì e ha raccomandato a Merlin di passare a meccanismi decentralizzati per evitare singoli punti di errore chiave.

Dopo ulteriori analisi, Merlin e CertiK hanno scoperto che l'hack era un lavoro interno del team del protocollo. Il team di back-end ha implementato una funzione call-action che ha conferito loro potere sui contratti e su tutte le coppie di trading nei pool di liquidità.

Gli sviluppatori sono stati anche in grado di manipolare i contratti front-end e l'host web di Merlin, consentendo loro di eseguire diverse transazioni on-chain che hanno prosciugato la vendita pubblica.

La nostra incrollabile priorità è restituire tutti i fondi alle parti interessate e ai partecipanti sulla piattaforma Merlin il prima possibile. A tal fine, stiamo lavorando insieme @Certik (Team DOXX di Prospero e Alatar Recovery Plan) per rimborsare tutti gli utenti interessati.

— Merlino (@TheMerlinDEX) 26 aprile 2023

Una taglia del cappello bianco del 20%.

Mentre Merlin e CertiK stanno elaborando un piano di compensazione, hanno anche informato le autorità competenti dell'incidente e del luogo in cui si trova il team tecnico canaglia. Il team di back-end è stato rintracciato in Serbia, Europa e le autorità locali sono state informate.

Il protocollo ha anche reclutato analisti on-chain per monitorare il movimento dei fondi. I beni rubati sono stati rintracciato a due portafogli ed erano ancora lì al momento della scrittura.

Nel frattempo, CertiK ha offerto gli sviluppatori una taglia del cappello bianco del 20%, esortandoli ad accettarla per evitare l'ira della legge.