هجوم Platypus بمبلغ $8.5 مليون – إليك ما تحتاج إلى معرفته

في يوم الخميس، 17 فبراير، تعرض بروتوكول تبديل العملات المستقرة اللامركزي (DeFi) Platypus على Avalanche للهجوم وتم اختراقه بمبلغ 8.5 مليون دولار. وقع الاختراق عبر هجوم قرض فلاش استغل عيباً في آلية التحقق من سيولة USP.

أدى هذا العيب إلى خداع العقود الذكية لـ Platypus للاعتقاد بأن USP مدعوم بالكامل، مما أدى إلى نقل ما يقرب من 8.5 مليون دولار من البروتوكول.

فقدت العملة المستقرة لـ Platypus، USP، ارتباطها بالدولار، وهبطت إلى 0.33 دولار. ثم تعافت مؤقتاً إلى 0.97 دولار، لكنها انخفضت مرة أخرى إلى 0.48 دولار منذ ذلك الحين، وفقاً لبيانات CoinGecko. قالت Platypus إن 35% فقط من ودائع المستخدمين في Platypus مغطاة بأصول أخرى.

وفقاً لتحليل ما بعد الحادث التقني من قبل شركة التدقيق Omniscia، كان الهجوم على Platypus ممكناً بسبب وضع غير صحيح للكود بعد مراجعته.

قامت شركة Omniscia بمراجعة نسخة من عقد MasterPlatypusV1 في الفترة من 21 نوفمبر إلى 5 ديسمبر 2021. كانت النسخة التي تمت مراجعتها "لا تحتوي على نقاط تكامل مع نظام platypusTreasure الخارجي" وبالتالي لم تكن تحتوي على أسطر الشفرة البرمجية غير المرتبة بشكل صحيح.

يبدو أن الثغرة موجودة في التحقق من صحة عقد MasterPlatypusV4 باستخدام وظيفة السحب الطارئ (EmergencyWithdraw)، والتي ستفشل فقط عندما يتجاوز الأصل المقترض حد الإقراض.

سمح هذا للمهاجم باستخدام قرض فلاش لاستغلال خطأ منطقي في آلية التحقق من سيولة USP في العقد الذي يحتفظ بالضمانات.

خطة تعويض Platypus للمستخدمين

في تغريدة بتاريخ 18 فبراير، قالت Platypus إنها تعمل على خطة لتعويض الأضرار وطلبت من المستخدمين عدم تحقيق خسائرهم في البروتوكول، مشيرة إلى أن ذلك سيجعل من الصعب على الشركة إدارة المشكلة.

كما تم إيقاف عمليات تصفية الأصول، وفقاً للبروتوكول. تعمل الشركة حالياً على وضع خطة تعويض لخسائر المستخدمين، سيتم الإعلان عنها قريباً.

ووفقاً للشركة، تشارك أطراف مختلفة، بما في ذلك مسؤولو إنفاذ القانون، حالياً في عملية استرداد الأموال. وسيتم الكشف عن مزيد من التفاصيل حول الخطوات التالية قريباً، كما أشارت Platypus.

جزء من الأموال مقفل داخل بروتوكول Aave. تستكشف الشركة طريقة لاسترداد الأموال المحتملة، والتي تتطلب موافقة على مقترح استرداد في منتدى حوكمة Aave.

جهود استرداد الأموال

بعد الهجوم، اجتمع أعضاء مجتمع العملات الرقمية لاستعادة الأموال. قال الباحث في احتيال العملات الرقمية ZachXBT، على تويتر، إنه تعقب عنوان محفظة المهاجم بعد مراجعة سجله على السلسلة عبر سلاسل متعددة.

قامت Platypus، بمساعدة BlockSec، بتحديث عقد مجموعتها للرد على الهجوم واسترداد 2.4 مليون دولار من USDC من المهاجم. قاموا بتحديثه بحيث عندما يودع عقد الاختراق USDC (الذي تم خداعه ليعتقد أنه قرض فلاش) كضمان لصك USP، يمكنهم خداع الكود ليعتقد أنه لا يستحق 0 USDC، وفقاً للمستخدم على تويتر nervoir.

أُرسلت USDC من المجموعة المزيفة إلى عناوين ثابتة لتجنب المتسابقين العامين، كما تغرد nervoir. من المرجح أن يكون استرداد الأصول الأخرى أصعب، لكن نظراً لأنهم يتحكمون في كود المجموعة، فإن لديهم تحكماً كبيراً، وفقاً لما ذكرته.

بالإضافة إلى هذه الجهود، تعمل الشركة مع Binance وTether وCircle لتجميد أموال المهاجم ومنع المزيد من الخسائر. يتواصل الفريق أيضاً مع إنفاذ القانون وسيصدر إعلانات إضافية بمجرد التأكد.