Протокол Platypus на базе Avalanche, AMM, который менее чем за две недели до запуска своего нового USP стабильной монеты, подвергся атаке флэш-кредита на 8,5 млн долларов в четверг. В последнее время есть о чем поговорить о стейблкоинах, но эта история не о регулировании, а скорее о принуждении сообщества и сотрудничестве для исправления действий после взлома.
Менее чем за 24 часа совместная работа сообщества позволила Platypus вернуть почти треть средств, а у хакера на хвосте есть сыщики.
Двигаетесь со скоростью утконоса? Не так быстро
На пороге активного обсуждения SEC и стейблкоина, в том числе драмы вокруг выпущенного Paxos BUSD и нового иска SEC против Do Kwon и Terraform Labs (создателей UST стейблкоина Terra), на этой неделе произошло еще больше безумия стейблкоина, не связанного с регулирование.
Platypus Finance уже некоторое время работает в экосистеме Avalanche в качестве авторитетного AMM, управляющего пулом ликвидности, и недавно запустила стабильную монету USP, привязанную к доллару США.
В четверг хакер, который обычно идентифицирует себя как retlqw, воспользовался флэш-кредитом, чтобы воспользоваться кодом Platypus. Они стремились развернуть единый контракт для эксплуатации Platypus, но работа в целом была расценена как небрежная и результат «плохого кодирования», а не «хорошего использования». пул Platypus для токенов пула ликвидности. Злоумышленник поместил эти токены пула ликвидности в контракт на размещение, что позволило им занять огромное количество токенов USP.
До сих пор это стандартная процедура: хакер воспользовался функцией «emergencyWithdraw», которая манипулировала кодом, чтобы позволить хакеру обменять токены пула ликвидности, вернув флэш-кредит от Aave, и все еще поддерживать токен USP. Хакер обменял токены USP на столько, сколько мог на тот момент — в стейблкоинах на сумму около 8,5 млн долларов.
Преследование по горячим следам
Команда Platypus консультировалась с внутренней командой Avalanche в Ava Labs, а также с отраслевыми профессионалами, такими как BlockSec. В течение нескольких часов были реализованы четыре строки исправленного кода для устранения проблемы. В тот же день криптографический сыщик ZachXBT опубликовал твит, в котором идентифицировал хакера и выразил заинтересованность в переговорах о награде, прежде чем сообщить о них в правоохранительные органы:
Здравствуйте, @retlqw, так как вы деактивировали свою учетную запись после моего сообщения вам.
Я отследил адреса вашей учетной записи из эксплойта @Platypusdefi и связался с их командой и биржами.
Мы хотели бы договориться о возврате средств, прежде чем обращаться в правоохранительные органы. pic.twitter.com/oJdAc9IIkD
— ZachXBT (@zachxbt), 17 февраля 2023 г.
Менее чем за 48 часов Platypus уже вернул 2,4 млн долларов США, и похоже, что многие другие средства заморожены благодаря скоординированной работе с командой Platypus. Этот лайфхак служит еще одним ярким напоминанием о том, что на ранних стадиях разработки код часто далек от совершенства.
Саги о стейблкоинах продолжаются.
