2월 17일 목요일, Avalanche DeFi 스테이블코인 교환 프로토콜인 850만 달러에 악용되었습니다 . 이 익스플로잇은 USP 지불 능력 확인 메커니즘의 결함을 이용한 플래시 대출 공격을 통해 발생했습니다.
이 결함으로 인해 Platypus의 스마트 trac 이 USP가 완전히 지원된다고 생각하게 되어 프로토콜에서 거의 850만 달러가 이동되었습니다.
오리너구리의 스테이블 코인인 USP는 달러에 대한 페그를 잃어 0.33달러로 떨어졌습니다. 그 후 잠시 0.97달러로 회복되었지만 이후 CoinGecko의 데이터에 따르면 0.48달러로 다시 떨어졌습니다. 오리너구리는 오리너구리의 사용자 예금 중 35%만이 다른 보유 자산으로 충당된다고 말했습니다.
감사업체 옴니시아(Omniscia)의 기술적 사후 분석에 따르면, 오리너구리에 대한 공격은 감사 이후 잘못 배치된 코드로 인해 가능해진 것으로 나타났다.
Omniscia는 2021년 11월 21일부터 12월 5일까지 MasterPlatypusV1 trac 버전을 감사했습니다. 감사된 버전에는 "외부 오리너구리 Treasure 시스템과의 통합 지점이 포함되어 있지 않았으므로" 순서가 잘못된 코드 줄이 포함되어 있지 않았습니다.
취약점은 EmergencyWithdraw 기능을 사용하여 MasterPlatypusV4 trac 을 검증하는 데 있는 것으로 보이며, 이는 빌린 자산이 빌린 한도를 초과하는 경우에만 실패합니다.
이를 통해 공격자는 플래시 대출을 사용하여 trac 를 보유한 계약의 USP 지불 능력 확인 메커니즘의 논리 오류를 악용할 수 있었습니다.
오리너구리의 사용자 보상 계획
오리너구리는 2월 18일 트위터를 통해 피해 보상 계획을 수립 중이며 사용자들에게 프로토콜에서 손실을 인식하지 말 것을 요청했다. 이로 인해 회사가 문제를 관리하기가 더 어려워질 것이라고 말했다.
자산 청산도 일시 중지됐다고 프로토콜은 밝혔다. 회사는 현재 이용자 피해에 대한 보상 방안을 마련 중이며, 이에 대한 내용은 곧 공개될 예정이다.
회사에 따르면 현재 법 집행관을 포함한 다양한 당사자가 자금 회수 과정에 참여하고 있습니다. 다음 단계에 대한 자세한 내용은 곧 공개될 것이라고 Platypus는 말했습니다.
자금의 일부는 Aave 프로토콜에 잠겨 있습니다. 회사는 잠재적으로 자금을 회수할 수 있는 방법을 모색하고 있으며, 이를 위해서는 Aave 의 거버넌스 포럼에서 회수 제안의 승인이 필요합니다.
자금 회수 노력
공격 이후 암호화폐 커뮤니티 회원들은 자금을 회수하기 위해 모였습니다. 암호화폐 사기 연구원인 ZachXBT는 트위터를 통해 여러 체인에 걸쳐 자신의 체인 기록을 검토한 후 공격자의 지갑 주소를 추적했다고 trac 습니다
Platypus는 BlockSec의 도움을 받아 풀 trac 을 업데이트하여 해커로부터 USDC 240만 달러를 탈취했습니다. 그들은 trac 계약이 USP 발행을 위한 담보로 USDC(플래시 대출이라고 생각하도록 속임)를 예치했을 때 코드를 속여 0 USDC를 돌려받을 수 있도록 업데이트했다고 트위터 사용자 nervoir가 말했습니다. .
nervoir는 가짜 풀의 USDC가 일반화된 선두 주자를 피하기 위해 하드코딩된 주소로 전송되었다고 트윗했습니다. 다른 자산은 복구하기가 더 어려울 수 있지만 풀 코드를 제어한다는 점을 고려하면 상당한 제어권을 갖고 있다고 그들은 말했습니다.
이러한 노력 외에도 회사는 Binance , Tether 및 Circle과 협력하여 해커의 자금을 동결하고 추가 손실을 방지하고 있습니다. 또한 팀은 법 집행 기관에 연락하고 있으며 확인되는 대로 추가 발표를 할 것입니다.
