Эксплойт с флэш-кредитом, по-видимому, стоит за атакой Platypus на стейблкоин USD

Platypus USD (USP) потерял свой долларовый паритет в четверг после очевидного эксплойта, который позволил кошельку вывести около 8.5 миллионов долларов из пулов ликвидности токена, всего через несколько недель после того, как Platypus DeFi выпустил стейблкоин.

Предполагаемый взлом был осуществлен с помощью эксплойта с флэш-кредитом, во время которого злоумышленник берет огромный кредит и оплачивает его в том же блоке, помещая транзакции, которые используют капитал для использования других протоколов между ними. Функция подкачки Platypus в сети была отключена после атаки. 

«Произошла атака с помощью флеш-займа на USP», — предупреждает пользователей закреплённое сообщение в официальном Telegram-канале Platypus. «В настоящее время мы пытаемся оценить ситуацию и оперативно сообщим об этом. На данный момент все операции приостановлены до получения большей ясности».

Предполагаемый злоумышленник, по-видимому, взял флэш-кредит в размере 44 миллионов долларов США от Aave V3 и, в свою очередь, отчеканил около 41 миллиона токенов Platypus США. Затем злоумышленник обналичил около 8.5 миллионов долларов в других стейблкоинах и вернул кредит. Все эти действия происходили в одном и том же блоке транзакций в сети. данным шоу.

«Уязвимость заключается в проверке платежеспособности в функции EmergencyWithdraw контракта MasterPlatypusV4», — сообщила The Block компания по безопасности web3 Certik.

«Проверка платежеспособности не учитывает стоимость долга пользователя. Он только проверяет, достигла ли сумма долга максимального предела», — сказал Чертик. «После проверки платежеспособности контракт позволяет пользователю вывести все депонированные активы».

История заимствования адреса злоумышленника.

Поскольку ликвидность пула была истощена в предыдущем блоке, оставшиеся 33 миллиона токенов находятся в кошельке злоумышленника и не могут быть проданы.

USP сейчас торгуется около 0.47 доллара после падения чуть более чем на 52%.

Данные графика от CoinGecko.

PlatypusDefi не сразу ответил на запрос The Block о комментариях.