Взлом с использованием flash loan, по-видимому, стал причиной атаки на stabecoin Platypus USD

Platypus USD (USP) утратил паритет с долларом в четверг после предполагаемой атаки, которая позволила кошельку вывести около 8,5 миллиона долларов из пулов ликвидности токена, всего через несколько недель после выпуска стейблкоина компанией Platypus.

Предполагаемый взлом был осуществлён с помощью flash loan-эксплойта, при котором злоумышленник берёт огромный заём и погашает его в том же блоке, размещая между этими транзакциями операции, в которых использует капитал для эксплуатации других протоколов. С момента атаки функция Platypus swap в сети была отключена.

Атакующий, по всей видимости, взял flash loan в размере 44 миллиона долларов на Aave V3 и затем выпустил около 41 миллиона токенов US Platypus. Затем злоумышленник конвертировал примерно 8,5 миллиона долларов в другие стейблкоины и вернул flash loan.

«Уязвимость находится в функции проверки платёжеспособности emergencyWithdraw контракта MasterPlatypusV4», — рассказала The Block веб3-компания по безопасности Certik.

«Проверка платёжеспособности не учитывает стоимость задолженности пользователя. Она лишь проверяет, достигла ли сумма долга максимального лимита», — отметили в Certik. «После прохождения этой проверки контракт позволяет пользователю вывести все внесённые активы».

История заимствований адреса атакующего.

Поскольку ликвидность пула была выведена в предыдущем блоке, оставшиеся 33 миллиона токенов находятся на кошельке атакующего и не могут быть обменяны.

Сейчас USP торгуется примерно по 0,47 доллара после падения более чем на 52%.

Данные графика предоставлены CoinGecko.

Platypus оперативно не ответил на запрос The Block о комментарии.

Исправление: Обновлено для уточнения официального названия Platypus.