CertiK và zk-Sync DEX Merlin Khám phá kế hoạch hoàn trả 2 triệu đô la cho các nạn nhân của Rugpull

Công ty bảo mật chuỗi khối CertiK và sàn giao dịch phi tập trung zk-Sync (DEX) Merlin đang làm việc hướng tới kế hoạch hoàn trả cho những người dùng bị ảnh hưởng bởi một vụ khai thác gần đây đã tiêu tốn gần 2 triệu đô la từ vụ sau.

Merlin đã tiết lộ hôm thứ Năm rằng vụ việc, được nhiều người cho là một vụ khai thác, trên thực tế, là một trò lừa bịp của một số thành viên lừa đảo trong nhóm nhà phát triển phụ trợ của nó, những người đã thao túng mã của giao thức để đạt được mục tiêu của họ.

CertiK và Merlin bồi thường cho nạn nhân

Hãy nhớ lại rằng nhóm thanh khoản của Merlin đã cạn kiệt vào thứ Tư, vài giờ sau khi CertiK kiểm tra mã của giao thức. DEX đang tiến hành bán công khai mã thông báo gốc của nó, MAGE, khi kẻ tấn công thực hiện vụ hack.

As Tiền điện tử báo cáo, CertiK cho biết một phân tích về sự kiện này cho thấy vấn đề quản lý khóa cá nhân có thể đã dẫn đến vụ việc. Công ty bảo mật tiết lộ rằng họ đã chỉ ra rủi ro tập trung trong cuộc kiểm toán được tiến hành vào thứ Hai và khuyến nghị Merlin chuyển sang các cơ chế phi tập trung để tránh các điểm lỗi chính duy nhất.

Sau khi phân tích sâu hơn, Merlin và CertiK phát hiện ra rằng vụ hack là một công việc nội bộ từ nhóm của giao thức. Nhóm back-end đã triển khai chức năng kêu gọi hành động giúp họ có quyền đối với các hợp đồng và tất cả các cặp giao dịch trong nhóm thanh khoản.

Các nhà phát triển cũng có thể thao túng các hợp đồng giao diện người dùng và máy chủ web của Merlin, cho phép họ thực hiện một số giao dịch trực tuyến làm cạn kiệt đợt bán công khai.

Ưu tiên chắc chắn của chúng tôi là trả lại tất cả tiền cho các bên bị ảnh hưởng và những người tham gia trên nền tảng Merlin càng sớm càng tốt. Để đạt được điều đó, chúng tôi đang làm việc cùng với @Certik (Nhóm DOXX của cả Prospero & Alatar Recovery Plan) để hoàn trả cho tất cả người dùng bị ảnh hưởng.

- Merlin (@TheMerlinDEX) 26 Tháng Tư, 2023

Tiền thưởng mũ trắng 20%

Trong khi Merlin và CertiK đang lên kế hoạch bồi thường, họ cũng đã thông báo cho các cơ quan hữu quan về vụ việc và tung tích của đội ngũ kỹ thuật giả mạo. Nhóm back-end đã được truy tìm đến Serbia, Châu Âu và chính quyền địa phương đã được thông báo.

Giao thức cũng đã tuyển dụng các nhà phân tích trên chuỗi để theo dõi chuyển động của các quỹ. Tài sản trộm cắp được theo dõi vào hai ví và vẫn còn ở đó tại thời điểm viết bài.

Trong khi đó, CertiK có cung cấp các nhà phát triển phần thưởng mũ trắng 20%, thúc giục họ chấp nhận nó để tránh sự phẫn nộ của pháp luật.