Menurut pemantauan Beosin EagleEye, anak perusahaan Beosin, kontrak proyek Platipus pada rantai Avalanche diserang oleh flash loan. Tim keamanan Beosin menganalisis dan menemukan bahwa penyerang pertama-tama meminjam 44 juta USDC melalui flash loan dan kemudian menelepon fungsi deposit dari kontrak Keuangan Platypus untuk menjaminkan. Penyerang mencetak jumlah LP-USDC yang sama, dan kemudian menjaminkan semua LP-USDC ke kumpulan No.4 dari kontrak MasterPlatypusV4, dan kemudian memanggil fungsi positionView untuk menggunakan _borrowLimitUSP fungsi untuk menghitung saldo pinjaman Fungsi _borrowLimitUSP akan mengembalikan Persentase nilai item yang dijaminkan di MasterPlatypusV4 digunakan sebagai batas atas pinjaman, dan nilai pengembalian digunakan untuk mencetak USP dalam jumlah besar (poin keuntungan ) melalui fungsi borrow. Karena attacker memiliki jumlah hutang (USP) yang besar yang dipinjam oleh LP-USDC, maka secara logika normal seharusnya tidak dapat ditarik kembali, namun terdapat masalah pada mekanisme pengecekan fungsi emergencyWithdraw dari kontrak MasterPlatypusV4. Ini hanya mendeteksi apakah jumlah pinjaman pengguna melebihi borrowLimitUSP (batas pinjaman) pengguna tanpa memeriksa apakah pengguna telah melunasi utangnya, sehingga penyerang berhasil mengekstraksi agunan (44 juta LP-USDC). Setelah melunasi pinjaman flash 44 juta USDC, penyerang masih memiliki 41.794.533 USP tersisa, dan kemudian penyerang mengubah USP yang menguntungkan menjadi berbagai stablecoin senilai 8.522.926 dolar AS. .