Виглядає, що експлойт через flash loan стоїть за атакою на стейблкоїн Platypus USD

Platypus USD (USP) втратив паритет із доларом у четвер після очевидної експлойту, внаслідок якої один гаманець вивів близько $8.5 мільйона з пулів ліквідності токена, всього через кілька тижнів після того, як Platypus випустив цей стейблкоїн.

Ймовірний злам було здійснено за допомогою експлойту flash loan, коли хакер бере величезну позику і повертає її в тому ж блоці, розміщуючи між цим свої транзакції, які використовують запозичений капітал для експлуатації інших протоколів. Функція обміну Platypus у мережі після атаки була вимкнена. 

Ймовірний атакуючий взяв flash loan на $44 мільйона на Aave V3 і натомість випустив приблизно 41 мільйон токенів US Platypus. Далі атакуючий обміняв близько $8.5 мільйона на інші стейблкоїни і повернув flash loan.

«Вразливість полягає у перевірці платоспроможності у функції emergencyWithdraw контракту MasterPlatypusV4», — повідомила компанія з безпеки web3 Certik The Block.

«Перевірка платоспроможності не враховує вартість боргу користувача. Вона перевіряє лише, чи досяг борг максимальної межі», — сказав Certik. «Після проходження перевірки контракт дозволяє користувачу вивести всі депоновані активи».

Історія позик адреси атакуючого.

Після того, як у попередньому блоці ліквідність пулу була виснажена, решта 33 мільйони токенів знаходяться в гаманці атакуючого й не можуть бути продані.

USP зараз торгується на рівні близько $0.47 після падіння більш ніж на 52%.

Дані графіку з CoinGecko.

Platypus наразі не відповів на запит The Block про коментар.

Виправлення: Оновлено для правильного зазначення формальної назви Platypus.