Čini se da iza napada Platypus USD stabilnih coin-a stoji eksploatacija Flash kredita

Platypus USD (USP) je u četvrtak izgubio svoj dolarski paritet nakon očiglednog eksploatacije koji je omogućio novčaniku da izvuče oko 8.5 miliona dolara iz bazena likvidnosti tokena, samo nekoliko sedmica nakon što je Platypus DeFi izdao stabilni coin.

Pretpostavljeni hak je postignut pomoću eksploatacije flash kredita, tokom kojeg napadač uzima ogroman kredit i podmiruje ga u istom bloku, stavljajući u sendvič transakcije koje koriste kapital za eksploataciju drugih protokola između. Funkcija Platypus swap na mreži je onemogućena od napada. 

„Došlo je do napada na USP uz pomoć brze pozajmice“, upozorava korisnike u zakačenoj poruci na zvaničnom Platypus Telegram kanalu. “Trenutno pokušavamo procijeniti situaciju i odmah ćemo o tome komunicirati. Za sada su sve operacije pauzirane dok ne dobijemo više jasnoće.”

Čini se da je navodni napadač uzeo 44 miliona dolara flash kredita od Aave V3, i zauzvrat iskovao oko 41 milion američkih Platypus tokena. Zatim je napadač unovčio oko 8.5 miliona dolara u druge stabilne coine i vratio flash zajam. Sve ove akcije su se odvijale u istom bloku transakcija, na lancu podaci show.

“Ranjivost leži u provjeri solventnosti u funkciji hitnog povlačenja ugovora MasterPlatypusV4,” rekla je web3 sigurnosna firma Certik za The Block.

“Provjera solventnosti ne uzima u obzir vrijednost dugovanja korisnika. On samo provjerava da li je iznos duga dostigao maksimalnu granicu”, rekao je Certik. “Nakon što prođe provjera solventnosti, ugovor omogućava korisniku da povuče svu deponovanu imovinu.”

Istorija posuđivanja adrese napadača.

S obzirom na to da je likvidnost pula iscrpljena u prethodnom bloku, preostalih 33 miliona tokena nalazi se u novčaniku napadača i nije moguće trgovati.

USP se sada trguje oko 0.47 dolara nakon što je pao za nešto više od 52%.

Podaci grafikona iz CoinGecko.

PlatypusDefi nije odmah odgovorio na zahtjev The Blocka za komentar.