Un exploit de préstamo flash parece estar detrás del ataque al stablecoin USD de Platypus.

Platypus USD (USP) perdió su paridad con el dólar este jueves después de un aparente exploit que permitió que una wallet retirara cerca de 8,5 millones de dólares de los pools de liquidez del token, apenas unas semanas después de que Platypus emitiera la stablecoin.

Se presume que el hackeo se realizó a través de un exploit de flash loan, en el que un atacante toma un préstamo enorme y lo liquida en el mismo bloque, intercalando transacciones que usan ese capital para explotar otros protocolos. La función de swap de Platypus en la red fue deshabilitada desde el ataque. 

El supuesto atacante parece haber tomado un flash loan de 44 millones de dólares desde Aave V3, y a su vez minteó unos 41 millones de tokens US Platypus. Luego, el atacante convirtió alrededor de 8,5 millones de dólares a otras stablecoins y devolvió el flash loan.

“La vulnerabilidad se encuentra en la verificación de solvencia en la función emergencyWithdraw del contrato MasterPlatypusV4,” dijo la firma de seguridad web3 Certik a The Block.

“La verificación de solvencia no tiene en cuenta el valor de la deuda del usuario. Solo comprueba si la cantidad de deuda alcanzó el límite máximo,” señaló Certik. “Después de que la verificación de solvencia se aprueba, el contrato permite al usuario retirar todos los activos depositados.”

El historial de préstamos de la dirección del atacante.

Con la liquidez del pool drenada en el bloque anterior, los 33 millones de tokens restantes permanecen en la wallet del atacante, sin poder ser intercambiados.

USP ahora cotiza alrededor de 0,47 dólares tras caer un poco más del 52%.

Datos del gráfico de CoinGecko.

Platypus no respondió de inmediato a la solicitud de comentario de The Block.

Corrección: Actualizado para corregir el nombre formal de Platypus.