CertiK і zk-Sync DEX Merlin вивчають план відшкодування вартістю 2 мільйони доларів для жертв Rugpull

Фірма безпеки блокчейнів CertiK і децентралізована біржа zk-Sync (DEX) Merlin працюють над планом відшкодування користувачам, які постраждали від нещодавнього експлойту, який позбавив останньої майже 2 мільйони доларів.

У четвер Merlin виявив, що інцидент, який, як багато хто вважав, був експлойтом, насправді був махінацією кількох шахраїв із команди розробників, які маніпулювали кодом протоколу для досягнення своєї мети.

CertiK і Merlin компенсують жертвам

Нагадаємо, що пул ліквідності Merlin був вичерпаний у середу, через кілька годин після перевірки CertiK коду протоколу. DEX проводив публічний продаж свого рідного токена MAGE, коли зловмисник зламав його.

As Криптовалюта повідомляєCertiK сказав, що аналіз події показав, що проблема з керуванням приватним ключем могла призвести до інциденту. Охоронна фірма повідомила, що під час аудиту, проведеного в понеділок, вона вказала на ризик централізації та рекомендувала Merlin перейти на децентралізовані механізми, щоб уникнути окремих точок збою ключів.

Після подальшого аналізу Merlin і CertiK виявили, що злам був інсайдерською роботою команди протоколу. Команда бек-енду реалізувала функцію виклику, яка дала їм владу над контрактами та всіма торговими парами в пулах ліквідності.

Розробники також змогли маніпулювати зовнішніми контрактами Merlin і веб-хостингом, що дозволило їм виконати кілька мережевих транзакцій, які виснажили публічний продаж.

Нашим незмінним пріоритетом є повернення всіх коштів постраждалим сторонам і учасникам на платформі Merlin якнайшвидше. З цією метою ми працюємо разом @Certik (Команда DOXX за планом відновлення Prospero та Alatar), щоб відшкодувати всім постраждалим користувачам.

— Мерлін (@TheMerlinDEX) Квітень 26, 2023

20% винагорода за білий капелюх

Поки Merlin і CertiK розробляють план компенсації, вони також повідомили відповідні органи влади про інцидент і місцеперебування технічної групи-шахрая. Бекенд-команду було відстежено в Сербії, Європі, і місцеві органи влади були повідомлені.

Протокол також залучив мережевих аналітиків для моніторингу руху коштів. Викрадені активи були гусеничні на два гаманці і все ще були там на момент написання статті.

Тим часом CertiK має запропонований розробники отримали 20% винагороду за білий капелюх, закликаючи їх прийняти це, щоб уникнути гніву закону.