Eksploitasi pinjaman kilat tampaknya menjadi penyebab serangan stablecoin Platypus USD

Platypus USD (USP) kehilangan paritas dolarnya pada hari Kamis setelah dugaan eksploitasi yang memungkinkan sebuah dompet menyedot sekitar $8,5 juta dari pool likuiditas token tersebut, hanya beberapa minggu setelah Platypus menerbitkan stablecoin tersebut.

Peretasan yang diduga terjadi melalui eksploitasi flash loan, di mana penyerang mengambil pinjaman sangat besar dan menyelesaikannya dalam blok yang sama, dengan menyisipkan transaksi lain yang menggunakan modal untuk mengeksploitasi protokol lain di antaranya. Fungsi swap Platypus di jaringan telah dinonaktifkan sejak serangan tersebut. 

Penyerang yang diduga tampaknya telah mengambil flash loan sebesar $44 juta dari Aave V3, lalu mencetak sekitar 41 juta token US Platypus. Selanjutnya, penyerang mencairkan sekitar $8,5 juta ke stablecoin lain, dan membayar kembali flash loan tersebut.

“Kerentanannya terletak pada pemeriksaan solvabilitas pada fungsi emergencyWithdraw di kontrak MasterPlatypusV4,” kata perusahaan keamanan web3 Certik kepada The Block.

“Pemeriksaan solvabilitas tidak memperhitungkan nilai utang pengguna. Itu hanya memeriksa apakah jumlah utang telah mencapai batas maksimum,” kata Certik. “Setelah pemeriksaan solvabilitas lolos, kontrak memungkinkan pengguna menarik semua aset yang disetorkan.”

Riwayat peminjaman dari alamat penyerang.

Dengan likuiditas pool yang terkuras di blok sebelumnya, 33 juta token yang tersisa berada di dompet penyerang, tidak dapat diperjualbelikan.

USP kini diperdagangkan di kisaran $0,47 setelah turun lebih dari 52%.

Data grafik dari CoinGecko.

Platypus belum segera merespons permintaan komentar dari The Block.

Koreksi: Diperbarui untuk memperbaiki nama resmi Platypus.