CertiK e zk-Sync DEX Merlin exploram plano de reembolso de US$ 2 milhões para vítimas de Rugpull

A empresa de segurança Blockchain CertiK e a troca descentralizada zk-Sync (DEX) Merlin estão trabalhando em um plano para reembolsar os usuários afetados por uma exploração recente que drenou quase US$ 2 milhões do último.

Merlin revelou na quinta-feira que o incidente, que se acreditava ser uma exploração, foi, na verdade, uma puxada de tapete por vários membros desonestos de sua equipe de desenvolvedores de back-end, que manipularam o código do protocolo para atingir seu objetivo.

CertiK e Merlin para compensar as vítimas

Lembre-se de que o pool de liquidez do Merlin foi drenado na quarta-feira, horas depois que a CertiK auditou o código do protocolo. O DEX estava realizando a venda pública de seu token nativo, MAGE, quando um invasor executou o hack.

As CryptoPotato relatado, CertiK disse que uma análise do evento sugeriu que um problema de gerenciamento de chave privada pode ter levado ao incidente. A empresa de segurança revelou que apontou um risco de centralização na auditoria realizada na segunda-feira e recomendou que Merlin mudasse para mecanismos descentralizados para evitar pontos únicos de falha importante.

Após uma análise mais aprofundada, Merlin e CertiK descobriram que o hack era um trabalho interno da equipe do protocolo. A equipe de back-end implementou uma função de ação de chamada que lhes deu poder sobre os contratos e todos os pares de negociação nos pools de liquidez.

Os desenvolvedores também foram capazes de manipular os contratos de front-end e o host da web do Merlin, permitindo-lhes executar várias transações na cadeia que esgotaram a venda pública.

Nossa prioridade inabalável é devolver todos os fundos às partes e participantes afetados na plataforma Merlin na primeira oportunidade. Para isso, trabalhamos lado a lado @Certik (Equipe DOXX do Prospero & Alatar Recovery Plan) para reembolsar todos os usuários afetados.

-Merlin (@TheMerlinDEX) 26 de abril de 2023

Uma recompensa de chapéu branco de 20%

Enquanto Merlin e CertiK estão elaborando um plano de compensação, eles também informaram as autoridades relevantes sobre o incidente e o paradeiro da equipe técnica desonesta. A equipe de back-end foi localizada na Sérvia, na Europa, e as autoridades locais foram notificadas.

O protocolo também recrutou analistas da rede para monitorar a movimentação dos fundos. Os bens roubados foram rastreados para duas carteiras e ainda estavam lá no momento em que este artigo foi escrito.

Enquanto isso, CertiK tem oferecido aos desenvolvedores uma recompensa de chapéu branco de 20%, instando-os a aceitá-la para evitar a ira da lei.