Como o erro de verificação de solvência levou à desvinculação do USP no Platypus Finanças baseado em Avalanche

Uma falha em um mecanismo de precificação importante levou a stablecoin USP da Platypus Finance a perder mais de 50% de sua indexação pretendida com dólares americanos na sexta-feira, disseram os desenvolvedores.

“Lamentamos informar que nosso protocolo foi hackeado recentemente, e o invasor tirou vantagem de uma falha em nosso mecanismo de verificação de solvência USP”, tuitou a Platypus. “Eles usaram um flashloan para explorar um erro de lógica no mecanismo de verificação de solvência USP no contrato que contém a garantia.”

O mecanismo de verificação de solvência enganou os contratos inteligentes da Platypus, fazendo-os raciocinar erroneamente que o USP era totalmente respaldado, como pretendido. E foi aí que a exploração começou.

A Platypus Finanças, assim como outras exchanges descentralizadas de stablecoins, depende de contratos inteligentes em vez de intermediários para trocar stablecoins de forma barata e com baixo slippage. O produto é bastante popular, mantendo mais de US$ 50 milhões em tokens bloqueados até quinta-feira.

Um ataque durante a madrugada nos EUA na quinta-feira viu exploradores usarem um ataque de empréstimo rápido para roubar mais de US$ 8,5 milhões da Platypus, como CoinDesk relatado.

Coisas a saber

USP é um tipo de stablecoin. Seu preço é afetado por quanto está disponível em um lugar chamado Main Pool. Quando mais pessoas trocam outros tipos de dinheiro digital por USP, o preço pode cair um pouco.

Quando há menos USP no Main Pool, o preço sobe novamente. Para KEEP o preço estável em $ 1, uma taxa é cobrada das pessoas que tomam emprestado USP, e a taxa aumenta quando há mais USP no Main Pool. Isso incentiva as pessoas a tomar mais emprestado ou pagar suas dívidas.

Empréstimos rápidos são um mecanismo específico de Finanças descentralizadas (DeFi) que permite aos usuários tomar emprestado grandes quantias de capital com pouca garantia, desde que o empréstimo seja pago na mesma transação.

Os empréstimos rápidos não são inerentemente ruins: eles são geralmente usados por traders, mas os malfeitores podem usar empréstimos rápidos para enganar o contrato inteligente de um protocolo para manipular os preços em pools de liquidez e assumir o controle dos ativos desse pool.

Como o atacante roubou milhões

Dados de blockchain mostram que o explorador tomou emprestado mais de US$ 44 milhões da plataforma de empréstimos Aave para o empréstimo rápido, usando-o para fornecer liquidez a um pool de negociação na Platypus e enganando contratos inteligentes para emitir US$ 44 milhões do token LP da Platypus, chamado LP-USDC, em troca.

Tudo isso ocorreu em duas transações. Esses tokens LP foram então depositados em um contrato de staking na Platypus – que emitiu 11.000 tokens platypus (PTP) como recompensa de staking.

O invasor também conseguiu obter 41 milhões de tokens USP usando os tokens LP de US$ 44 milhões como garantia, já que o Platypus permite que os usuários tomem emprestado stablecoins USP contra suas posições LP.

Neste ponto, o invasor chamou uma função “emergencywithdraw” nos contratos inteligentes da Platypus para sacar os $44 milhões originalmente fornecidos ao pool de liquidez da Platypus. O erro de verificação de solvência no código falhou em dissuadir tal movimento – permitindo que o invasor sacasse os tokens e pagasse o empréstimo flash da Aave .

No entanto, o sistema não retirou os 41 milhões de tokens USP que foram emitidos, permitindo que o invasor os trocasse pelos US$ 8,5 milhões em liquidez disponíveis naquele momento no Platypus.

Na sexta-feira, a Platypus disse que havia entrado em contato com o invasor para negociar uma recompensa em troca da devolução dos fundos.

Acrescentou que partes relevantes de segurança e exchanges de Cripto foram contatadas. “Estamos trabalhando atualmente com várias partes… incluindo Binance, Tether e Circle, para congelar os fundos do hacker e evitar mais perdas. Agora mesmo, o USDT foi congelado.

“Também estamos explorando opções de compensação e reembolso para investidores afetados”, tuitaram os desenvolvedores.

A USP continua perdendo valor no momento em que este artigo foi escrito, sendo negociada a 47 centavos na manhã de sexta-feira.