CertiK i zk-Sync DEX Merlin badają plan zwrotu kosztów o wartości 2 mln USD dla ofiar Rugpull

CertiK, firma zajmująca się bezpieczeństwem Blockchain i zdecentralizowana giełda zk-Sync (DEX) Merlin, pracują nad planem zwrotu kosztów użytkownikom dotkniętym niedawnym exploitem, który pozbawił tych ostatnich prawie 2 miliony dolarów.

Merlin ujawnił w czwartek, że incydent, który powszechnie uważano za exploit, był w rzeczywistości manipulacją kilku nieuczciwych członków zespołu programistów zaplecza, którzy manipulowali kodem protokołu, aby osiągnąć swój cel.

CertiK i Merlin zrekompensują ofiary

Przypomnijmy, że pula płynności Merlina została wyczerpana w środę, kilka godzin po tym, jak CertiK przeprowadził audyt kodu protokołu. DEX przeprowadzał publiczną sprzedaż swojego natywnego tokena, MAGE, kiedy atakujący wykonał włamanie.

As CryptoPotato zgłaszaneCertiK powiedział, że analiza zdarzenia sugeruje, że przyczyną incydentu mógł być problem z zarządzaniem kluczem prywatnym. Firma ochroniarska ujawniła, że ​​podczas audytu przeprowadzonego w poniedziałek zwróciła uwagę na ryzyko centralizacji i zaleciła Merlinowi przejście na zdecentralizowane mechanizmy, aby uniknąć pojedynczych punktów awarii klucza.

Po dalszej analizie Merlin i CertiK odkryli, że włamanie było dziełem poufnych pracowników zespołu ds. protokołu. Zespół zaplecza wdrożył funkcję call-action, która dała mu kontrolę nad kontraktami i wszystkimi parami handlowymi w pulach płynności.

Deweloperzy byli również w stanie manipulować umowami front-end i hostem sieciowym Merlina, co pozwoliło im na wykonanie kilku transakcji w łańcuchu, które wyczerpały publiczną sprzedaż.

Naszym niezmiennym priorytetem jest jak najszybsze zwrócenie wszystkich środków zainteresowanym stronom i uczestnikom platformy Merlin. W tym celu współpracujemy @Certik (Zespół DOXX w ramach planu naprawy Prospero i Alatar), aby zwrócić koszty wszystkim użytkownikom, których to dotyczy.

— Merlin (@TheMerlinDEX) 26 kwietnia 2023 r.

20% nagrody za biały kapelusz

Podczas gdy Merlin i CertiK opracowują plan kompensacyjny, poinformowali również odpowiednie władze o incydencie i miejscu pobytu nieuczciwej ekipy technicznej. Zespół zaplecza został wyśledzony w Serbii, Europie, a władze lokalne zostały powiadomione.

Protokół zatrudnił również analityków on-chain do monitorowania ruchu funduszy. Skradzione aktywa zostały śledzone do dwóch portfeli i nadal tam były w momencie pisania.

Tymczasem CertiK ma oferowany deweloperom 20% nagrody w postaci białego kapelusza, zachęcając ich do jej zaakceptowania, aby uniknąć gniewu prawa.