Un exploit di flash loan sembra essere la causa dell’attacco al stablecoin USD di Platypus

Platypus USD (USP) ha perso la parità con il dollaro giovedì in seguito a un apparente exploit che ha permesso a un wallet di sottrarre circa 8,5 milioni di dollari dai pool di liquidità del token, solo poche settimane dopo l’emissione della stablecoin da parte di Platypus.

L’attacco presunto è stato eseguito tramite un exploit di flash loan: un attaccante ottiene un prestito enorme e lo rimborsa nello stesso blocco, inserendo nel mezzo transazioni che sfruttano il capitale per attaccare altri protocolli. La funzione di swap di Platypus sulla rete è stata disabilitata dall’attacco. 

L’attaccante sospetto sembra aver ottenuto un flash loan di 44 milioni di dollari da Aave V3, con il quale ha mintato circa 41 milioni di token US Platypus. Successivamente, l’attaccante ha convertito circa 8,5 milioni di dollari in altre stablecoin e ha restituito il flash loan.

“La vulnerabilità risiede nel controllo di solvibilità nella funzione emergencyWithdraw del contratto MasterPlatypusV4,” ha dichiarato la società di sicurezza web3 Certik a The Block.

“Il controllo di solvibilità non tiene conto del valore del debito dell’utente. Verifica solo se l’importo del debito ha raggiunto il limite massimo,” ha aggiunto Certik. “Dopo che il controllo viene superato, il contratto consente all’utente di prelevare tutti gli asset depositati.”

La cronologia dei prestiti dell’indirizzo dell’attaccante.

Con la liquidità del pool prosciugata nel blocco precedente, i restanti 33 milioni di token si trovano nel wallet dell’attaccante e non possono essere scambiati.

Attualmente USP viene scambiato attorno a 0,47 dollari dopo aver perso poco più del 52%.

Dati dei grafici da CoinGecko.

Platypus non ha risposto immediatamente alla richiesta di commento da parte di The Block.

Correzione: aggiornato per correggere il nome formale di Platypus.