Comment une erreur de vérification de solvabilité a conduit à la délinéation de l'USP sur Platypus Finance , basé sur Avalanche

Une faille dans un mécanisme de tarification clé a conduit le stablecoin USP de Platypus Finance à perdre plus de 50 % de son ancrage prévu avec le dollar américain plus tôt vendredi, ont déclaré les développeurs.

« Nous avons le regret de vous informer que notre protocole a été piraté récemment et que l'attaquant a exploité une faille dans notre mécanisme de vérification de la solvabilité de l'USP », a tweeté Platypus. « Ils ont utilisé un prêt flash pour exploiter une erreur logique dans le mécanisme de vérification de la solvabilité de l'USP dans le contrat contenant la garantie. »

Le mécanisme de vérification de la solvabilité a trompé les contrats intelligents de Platypus en leur faisant croire à tort que l'USP était pleinement garantie, comme prévu. C'est là que l'exploit a commencé.

Platypus Finance, comme d'autres plateformes d'échange décentralisées de stablecoins, s'appuie sur des contrats intelligents plutôt que sur des intermédiaires pour échanger des stablecoins à moindre coût et avec un faible glissement. Ce produit est assez populaire, détenant plus de 50 millions de dollars en jetons bloqués jeudi.

Une attaque survenue jeudi soir aux États-Unis a vu des exploiteurs utiliser une attaque de prêt flash pour voler plus de 8,5 millions de dollars à Platypus, selon CoinDesk. signalé.

Choses à savoir

L'USP est un type de stablecoin. Son prix dépend de la quantité disponible dans un pool appelé « Main Pool ». Lorsque davantage de personnes échangent d'autres types de monnaies numériques contre de l'USP, son prix peut légèrement baisser.

Lorsque le pool principal contient moins d'USP, le prix remonte. Pour KEEP le prix à 1 $, des frais sont facturés aux emprunteurs d'USP, et ces frais augmentent lorsque le pool principal contient plus d'USP. Cela encourage les emprunteurs à emprunter davantage ou à rembourser leurs dettes.

Les prêts flash sont un mécanisme spécifique à la Finance décentralisée (DeFi) permettant aux utilisateurs d'emprunter des montants importants de capital avec peu de garanties tant que le prêt est remboursé dans le cadre de la même transaction.

Les prêts flash ne sont pas intrinsèquement mauvais : ils sont généralement utilisés par les traders, mais les mauvais acteurs peuvent utiliser les prêts flash pour tromper le contrat intelligent d’un protocole afin de manipuler les prix des pools de liquidités et de prendre le contrôle des actifs de ce pool.

Comment l'attaquant a volé des millions

Les données de la blockchain montrent que l'exploitant a emprunté plus de 44 millions de dollars à la plateforme de prêt Aave pour le prêt flash, l'utilisant pour fournir des liquidités à un pool de négociation sur Platypus et en trompant les contrats intelligents pour émettre 44 millions de dollars du jeton LP de Platypus, appelé LP-USDC, en retour.

Tout cela s'est déroulé en deux transactions. Ces jetons LP ont ensuite été déposés dans un contrat de jalonnement sur Platypus, qui a émis 11 000 jetons Platypus (PTP) en guise de récompense de jalonnement.

L'attaquant a également pu obtenir 41 millions de jetons USP en utilisant les 44 millions de dollars de jetons LP comme garantie, car Platypus permet aux utilisateurs d'emprunter des pièces stables USP contre leurs positions LP.

À ce stade, l'attaquant a appelé une fonction « emergencywithdraw » sur les contrats intelligents de Platypus afin de retirer les 44 millions de dollars initialement versés au pool de liquidités de Platypus. L'erreur de vérification de solvabilité dans le code n'a pas réussi à dissuader l'attaquant, lui permettant de retirer les jetons et de rembourser le prêt flash Aave .

Cependant, le système n'a pas retiré les 41 millions de jetons USP émis, permettant ainsi à l'attaquant de les échanger contre les 8,5 millions de dollars de liquidités disponibles à ce moment-là sur Platypus.

Vendredi, Platypus a déclaré avoir contacté l'attaquant pour négocier une prime en échange du retour des fonds.

Elle a ajouté que les acteurs de la sécurité et les plateformes d'échange de Crypto concernés avaient été contactés. « Nous travaillons actuellement avec plusieurs acteurs, dont Binance, Tether et Circle, pour geler les fonds du pirate et éviter de nouvelles pertes. À l'heure actuelle, l' USDT est gelé. »

« Nous étudions également des options d’indemnisation et de remboursement pour les investisseurs concernés », ont tweeté les développeurs.

L'USP continue de perdre de la valeur au moment de la rédaction, se négociant à 47 cents vendredi matin.