Ein Flash-Loan-Angriff scheint hinter dem Angriff auf den Platypus USD-Stablecoin zu stecken

Platypus USD (USP) verlor am Donnerstag seine Dollar-Parität, nachdem es offenbar zu einem Exploit gekommen war, der es einer Wallet ermöglichte, etwa 8,5 Millionen US-Dollar aus den Liquiditätspools des Tokens abzuziehen – nur wenige Wochen nachdem Platypus den Stablecoin herausgegeben hatte.

Der mutmaßliche Hack wurde durch einen Flash-Loan-Exploit durchgeführt. Dabei nimmt ein Angreifer einen enormen Kredit auf und begleicht ihn im selben Block. Dazwischen werden Transaktionen eingeschleust, die das Kapital ausnutzen, um andere Protokolle anzugreifen. Die Platypus Swap-Funktion im Netzwerk wurde seit dem Angriff deaktiviert. 

Der mutmaßliche Angreifer scheint einen Flash Loan über 44 Millionen US-Dollar bei Aave V3 aufgenommen und im Gegenzug etwa 41 Millionen US Platypus Token geprägt zu haben. Anschließend zahlte der Angreifer etwa 8,5 Millionen US-Dollar in andere Stablecoins aus und beglich den Flash Loan wieder.

„Die Schwachstelle liegt in der Solvabilitätsprüfung in der Funktion emergencyWithdraw des MasterPlatypusV4-Vertrags“, teilte das Web3-Sicherheitsunternehmen Certik The Block mit.

„Die Solvabilitätsprüfung berücksichtigt nicht den Wert der Verschuldung des Nutzers. Sie prüft nur, ob der Schuldenbetrag das maximale Limit erreicht hat“, sagte Certik. „Nachdem die Solvabilitätsprüfung bestanden ist, erlaubt der Vertrag dem Nutzer, alle eingezahlten Vermögenswerte abzuheben.“

Die Ausleihehistorie der Angreifer-Adresse.

Nachdem die Liquidität des Pools im vorherigen Block abgezogen wurde, befinden sich die verbleibenden 33 Millionen Token in der Wallet des Angreifers und können nicht gehandelt werden.

Der USP wird derzeit bei etwa 0,47 US-Dollar gehandelt, nachdem er um etwas über 52 % gefallen ist.

Diagrammdaten von CoinGecko.

Platypus hat nicht sofort auf eine Anfrage für einen Kommentar von The Block reagiert.

Korrektur: Aktualisiert zur Korrektur des offiziellen Namens von Platypus.