Суд Франции не признал мошенничеством эксплойт протокола Platypus

Что произошло? Суд Франции полностью оправдал двух хакеров, которые в феврале вывели из DeFi-протокола Platypus 8,5 млн долларов. Власти отметили невозможность применения статьи о несанкционированном доступе к компьютерной системе, поскольку смарт-контракт проекта является общедоступным. Они также не признали мошенничеством применение хакерами функции вывода средств, которая содержала уязвимость.

Материал The Block

Что еще известно? Хакеры провели атаку методом мгновенного займа 16 февраля. Они вложили 44 млн долларов в актив Platypus USDC (LP-USDC), получив 44 млн LP-USD, а затем перевели LP-USD на контракт MasterPlatypusV4. После этого они активировали функцию заимствования, чтобы выпустить около 41,79 млн USP в контракте PlatypusTreasure. Это максимальная сумма, разрешенная лимитом заимствования, который был установлен на уровне 95% залога пользователя.

Поскольку злоумышленники не занимали больше 95% лимита, значение isSolvent вернулось как верное, что позволило им вызвать функцию emergencyWithdraw и получить всю сумму в размере 44 млн LP-USDC. Затем они вывели 44 млн из Platypus USDC и обменяли USP на различные активы через финансовый пул Platypus.

Хакеров, братьев Мохаммеда и Бенамара, арестовали во Франции через неделю после атаки благодаря информации, полученной от криптобиржи Binance и аналитика ZachXBT, у них изъяли 210 000 евро в криптовалютах. Мохаммеду предъявили обвинение в совершении атаки, а Бенамару — в получении украденных средств.

Сами они утверждали что действовали как белые хакеры и намеревались позже вернуть проекту 90% средств, оставив себе 10% в качестве вознаграждения. Однако в ходе атаки флэш-кредитования Мохаммед по ошибке заблокировал миллионы долларов и смог вернуть только около $270 000. Platypus также смог спасти 2,4 млн долларов в USDC с помощью мер по предотвращению атаки.

Поскольку суд признал невозможность предъявления обвинений в мошенничестве, он также снял обвинения в получении краденного и отмывании денег. Вместе с тем власти напомнили хакерам, что команда Platypus сохраняет за собой право обратиться в гражданский суд.