CertiK a zk-Sync DEX Merlin Zvažte plán úhrady 2 milionů dolarů pro oběti Rugpullu

CertiK a zk-Sync DEX Merlin Zvažte plán úhrady 2 milionů dolarů pro oběti Rugpullu

Blockchainová bezpečnostní firma CertiK a zk-Sync Decentralized Exchange (DEX) Merlin pracují na plánu odškodnění uživatelů postižených nedávným exploitem, který odčerpal téměř 2 miliony dolarů.

Merlin ve čtvrtek odhalil, že incident, o kterém se všeobecně věří, že jde o zneužití, byl ve skutečnosti taháním koberců několika nepoctivými členy jeho back-endového vývojového týmu, kteří manipulovali s kódem protokolu, aby dosáhli svého cíle.

CertiK a Merlin odškodnit oběti

Připomeňme, že fond likvidity Merlin byl vyprázdněn ve středu, několik hodin poté, co CertiK auditoval kód protokolu. DEX prováděl veřejný prodej svého nativního tokenu MAGE, když útočník provedl hack.

JakKryptobramboraCertiK uvedl, že analýza incidentu naznačovala, že k incidentu mohl vést problém se správou soukromého klíče. Bezpečnostní firma uvedla, že v auditu provedeném v pondělí upozornila na riziko centralizace a doporučila, aby Merlin přešel na decentralizované mechanismy, aby se zabránilo jednotlivým bodům klíčového selhání.

Po další analýze Merlin a CertiK usoudili, že hack byl interní prací týmu protokolu. Backendový tým implementoval funkci call action, která jim dala kontrolu nad kontrakty a všemi obchodními páry v likviditních fondech.

Vývojáři byli také schopni manipulovat s Merlinovými front-end smlouvami a webhostingem, což jim umožnilo provádět více transakcí v řetězci, které vyčerpaly veřejné prodeje.

Naší neochvějnou prioritou je vrátit všechny finanční prostředky dotčeným stranám a účastníkům na platformě Merlin co nejrychleji. Spolupracujeme na tom @Certik (Tým DOXX z Prospero & Alatar Recovery Plan), aby kompenzoval všechny postižené uživatele.

— Merlin (@TheMerlinDEX) 26. dubna 2023

20% prémiový bílý klobouk

Zatímco Merlin a CertiK vypracovávají kompenzační plán, informovali také příslušné úřady o incidentu a místě pobytu nepoctivého technického týmu. Backendový tým byl vysledován do Srbska, Evropy a byly informovány místní úřady.

Protokol také najal analytiky v řetězci, aby sledovali pohyb finančních prostředků. Ukradený majetek byl sledován ve dvou peněženkách a v době psaní tohoto článku tam stále byl.

Mezitím CertiK nabídl dal vývojářům 20procentní odměnu za bílý klobouk a vyzval je, aby ji přijali, aby se vyhnuli hněvu zákona.

.