Platypusが8.5Mのハッキング被害 – 知っておくべきこと

2月17日（木）、Avalanche上のDeFiステーブルコイン交換プロトコルであるPlatypusが、850万ドルの被害を受けるハッキングを受けました。この攻撃は、USPのソルベンシーチェック機能の脆弱性を突いたフラッシュローン攻撃によって行われました。

この欠陥により、PlatypusのスマートコントラクトはUSPが完全に裏付けられていると誤認し、プロトコルから約850万ドルが移動されました。

PlatypusのステーブルコインUSPはドルへのペグを失い、0.33ドルまで下落しました。その後一時的に0.97ドルまで回復しましたが、その後は0.48ドルまで再び下落しています（CoinGeckoのデータによる）。Platypusは、Platypusのユーザー預金のうち35％のみが他の保有資産でカバーされていると述べています。

監査会社Omnisciaによる技術的な事後分析によると、Platypusへの攻撃は、監査後に誤って配置されたコードによって可能になりました。

Omnisciaは2021年11月21日から12月5日にかけて、MasterPlatypusV1コントラクトのバージョンを監査しました。監査されたバージョンには「外部のplatypusTreasureシステムとの統合ポイントが含まれておらず」、したがって誤って配置された行のコードは含まれていませんでした。

脆弱性は、EmergencyWithdraw関数を使用してMasterPlatypusV4コントラクトを検証する際にあるようです。これは、借り入れ資産が借り入れ制限を超えた場合にのみ失敗します。

これにより、攻撃者はフラッシュローンを使用して、担保を保持するコントラクト内のUSPソルベンシーチェックメカニズムの論理エラーを悪用することができました。

Platypusのユーザー向け補償計画

2月18日のツイートで、Platypusは損害補償計画を策定中であると述べ、ユーザーにプロトコル内で損失を realize（実現/確定）しないよう要請しました。これは、企業が問題の管理をより困難にするためです。

プロトコルによると、資産の強制清算も一時停止されています。企業は現在、ユーザーの損失に対する補償計画を策定中であり、近日中に開示される予定です。

同社によると、法執行当局者を含む異なる当事者が現在、資金の回収プロセスに関与しています。次のステップに関する詳細は、Platypusの注記により、近日中に開示される予定です。

資金の一部はAaveプロトコルにロックされています。企業は、Aaveのガバナンスフォーラムでの回収提案の承認を必要とする、資金を潜在的に回収する方法を探っています。

資金回収の取り組み

攻撃後、暗号通貨コミュニティのメンバーが資金回収のために結束しました。暗号詐欺調査家のZachXBTは、Twitterで複数のチェーンにわたる自身のチェーン履歴をレビューした後、攻撃者のウォレットアドレスを追跡したと述べています。

PlatypusはBlockSecの支援を受け、ハッカーから240万ドルのUSDCを逆利用するためにプール契約を更新しました。Twitterユーザーのnervoir氏によると、ハッキング契約がUSDCを預け入れ（フラッシュローンと誤信させられた）、USPのミントのための担保とした際、コードが0 USDCを返済すべきだと誤認させるように更新されました。

nervoir氏は、偽のプールからのUSDCは、一般的なフロントランナーを回避するためにハードコードされたアドレスに送信されたとツイートしました。他の資産の回収は困難になる可能性がありますが、プールコードを制御しているため、 significant（大きな）制御権を握っていると彼は述べました。

これらの取り組みに加え、企業はBinance、Tether、Circleと連携して、ハッカーの資金を凍結し、さらなる損失を防いでいます。チームはまた、法執行機関に連絡しており、確認次第、さらなる発表を行う予定です。