CertiK e zk-Sync DEX Merlin consideram plano de reembolso de US$ 2 milhões para vítimas de Rugpull

CertiK e zk-Sync DEX Merlin consideram plano de reembolso de US$ 2 milhões para vítimas de Rugpull

A empresa de segurança Blockchain CertiK e zk-Sync Decentralized Exchange (DEX) Merlin estão trabalhando em um plano para compensar os usuários afetados por uma exploração recente que drenou quase US$ 2 milhões deste último.

Merlin revelou na quinta-feira que o incidente, amplamente considerado uma exploração, foi na verdade uma manobra de vários membros desonestos de sua equipe de desenvolvimento de back-end que manipularam o código do protocolo para atingir seu objetivo.

CertiK e Merlin para compensar as vítimas

Lembre-se de que o pool de liquidez do Merlin foi esvaziado na quarta-feira, horas depois que a CertiK auditou o código do protocolo. A DEX estava realizando a venda pública de seu token nativo MAGE quando um invasor executou o hack.

ComoCriptobatatarelatado, CertiK disse que uma análise do incidente sugeriu que um problema de gerenciamento de chave privada pode ter levado ao incidente. A empresa de segurança disse que destacou um risco de centralização na auditoria realizada na segunda-feira e recomendou que Merlin mudasse para mecanismos descentralizados para evitar pontos únicos de falha importante.

Após análises mais aprofundadas, Merlin e CertiK determinaram que o hack foi um trabalho interno da equipe do protocolo. A equipe de back-end implementou um recurso de ação de chamada que lhes deu controle dos contratos e de todos os pares de negociação nos pools de liquidez.

Os desenvolvedores também foram capazes de manipular os contratos front-end e o host da Merlin, permitindo-lhes executar múltiplas transações em cadeia que esgotaram as vendas públicas.

A nossa prioridade inabalável é devolver todos os fundos às partes afetadas e aos participantes na plataforma Merlin o mais rapidamente possível. Trabalhamos juntos para isso @Certik (Equipe DOXX do Prospero & Alatar Recovery Plan) para compensar todos os usuários afetados.

-Merlin (@TheMerlinDEX) 26 de abril de 2023

Um prêmio de chapéu branco de 20%

Enquanto Merlin e CertiK desenvolvem um plano de compensação, também informaram as autoridades relevantes sobre o incidente e o paradeiro da equipa técnica desonesta. A equipe de back-end foi rastreada até a Sérvia, a Europa e as autoridades locais foram notificadas.

O protocolo também recrutou analistas da rede para monitorar a movimentação de fundos. Os ativos roubados foram rastreados em duas carteiras e ainda estavam lá no momento da redação deste artigo.

Enquanto isso, CertiK oferecido deu aos desenvolvedores uma recompensa de chapéu branco de 20% e os incentivou a aceitá-la para evitar a ira da lei.

.