​Стейблкоин USP потерял привязку к доллару после взлома DeFi-протокола Platypus

Что произошло? 16 февраля DeFi-протокол Platypus подвергся атаке через флэш-кредиты на токены Avalanche (AVAX), сообщила в Twitter компания CertiK, специализирующаяся на кибербезопасности. Хакерам удалось вывести 9 млн долларов. В результате взлома стейблкоин проекта, Platypus USD (USP), потерял привязку к доллару, снизившись до $0,478815 на 17 февраля 12:00 мск, по данным агрегатора CoinGecko. Суточное падение актива составило 52,1%.

Источник: Twitter.com

Platypus — это автоматизированный маркет-мейкер (AMM) для торговли стейблкоинами. Протокол основан на блокчейне Avalanche. По данным DefiLlama, общая сумма заблокированных средств (TVL) в Platypus составляет 40,88 млн долларов.

Подробности взлома. На данный момент большая часть украденных средств остается на контрактном адресе злоумышленников, часть отправлена в пулы EOA и AAVE. По данным CertiK, уязвимость, вероятно, кроется в проверке контракта MasterPlatypusV4 функцией emergencyWithdraw (экстренный вывод средств), которая не срабатывает только в том случае, если заимствованные активы превышают лимит. После этого функция переводит все депозитные активы пользователя без учета стоимости средств, взятых клиентом в долг.

Злоумышленники вложили 44 млн долларов в актив Platypus USDC (LP-USDC), получив 44 млн LP-USD. Затем они перевели LP-USD на контракт MasterPlatypusV4.

Хакеры активировали функцию заимствования, чтобы выпустить около 41,79 млн USP в контракте PlatypusTreasure. Это максимальная сумма, разрешенная лимитом заимствования, который установлен на уровне 95% залога пользователя.

Поскольку злоумышленники не занимали больше 95% лимита, значение isSolvent вернулось как верное, что позволило им вызвать функцию emergencyWithdraw и получить всю сумму в размере 44 млн LP-USDC.

После этого хакеры вывели 44 млн из Platypus USDC и обменяли USP на различные активы через финансовый пул Platypus.

Ранее эксперты PeckShield сообщали, что активность криптохакеров в январе 2023 года снизилась на 93%. Сумма украденных активов составила 8,8 млн долларов по сравнению со 121 млн за аналогичный период прошлого года.