Khai thác flash loan dường như đứng sau cuộc tấn công stablecoin của Platypus USD

Platypus USD (USP) đã mất tính tương đương đồng đô la vào thứ Năm sau một vụ khai thác rõ ràng cho phép một chiếc ví bòn rút khoảng 8,5 triệu đô la từ các nhóm thanh khoản của mã thông báo, chỉ vài tuần sau khi Platypus DeFi phát hành stablecoin.

Vụ hack được cho là đã được thực hiện bằng phương pháp khai thác khoản vay chớp nhoáng, trong đó kẻ tấn công lấy một khoản vay khổng lồ và giải quyết nó trong cùng một khối, kẹp các giao dịch sử dụng vốn để khai thác các giao thức khác ở giữa. Chức năng trao đổi thú mỏ vịt trên mạng đã bị vô hiệu hóa kể từ cuộc tấn công.

“Đã có một cuộc tấn công cho vay chớp nhoáng vào USP,” một tin nhắn được ghim trong kênh Telegram chính thức của Platypus cảnh báo người dùng. "Chúng tôi hiện đang cố gắng đánh giá tình hình và sẽ thông báo kịp thời về vấn đề này. Hiện tại, tất cả các hoạt động đều bị tạm dừng cho đến khi chúng tôi hiểu rõ hơn.”

Kẻ tấn công bị cáo buộc dường như đã rút một khoản vay nhanh trị giá 44 triệu đô la từ Aave V3 và lần lượt đúc được khoảng 41 triệu mã thông báo Platypus của Mỹ. Tiếp theo, kẻ tấn công đã rút khoảng 8,5 triệu đô la thành các loại tiền ổn định khác và trả lại khoản vay nhanh. Tất cả các hành động này đều diễn ra trong cùng một khối giao dịch, trên chuỗidữ liệu trình diễn.

“Lỗ hổng nằm ở việc kiểm tra khả năng thanh toán trong trường hợp khẩn cấp chức năng Rút hợp đồng MasterPlatypusV4,” công ty bảo mật web3 Certik nói với The Block.

“Việc kiểm tra khả năng thanh toán không tính đến giá trị khoản nợ của người dùng. Nó chỉ kiểm tra xem số tiền nợ đã đạt đến giới hạn tối đa hay chưa,” Certik nói. “Sau khi vượt qua kiểm tra khả năng thanh toán, hợp đồng cho phép người dùng rút tất cả tài sản đã ký gửi.”

Lịch sử mượn địa chỉ của kẻ tấn công.

Với tính thanh khoản của nhóm bị cạn kiệt trong khối trước đó, 33 triệu mã thông báo còn lại nằm trong ví của kẻ tấn công và không thể giao dịch được.

USP hiện đang giao dịch quanh mức 0,47 đô la sau khi giảm hơn 52%.

Dữ liệu biểu đồ từ CoinGecko.

PlatypusDefi đã không trả lời ngay lập tức yêu cầu bình luận từ The Block.