Platypus, $8.5M 해킹으로 충격 – 알아야 할 사항

2월 17일 목요일, Avalanche 기반 DeFi 스테이블코인 스왑 프로토콜인 Platypus는 공격을 받아 850만 달러의 손실을 입었습니다. 이 공격은 USP 유동성 검증 메커니즘의 결함을 이용한 플래시론 공격으로 발생했습니다.

이 결함은 Platypus의 스마트 계약을 USP가 완전히 담보로 backing되고 있다고 생각하게 만들어, 프로토콜에서 거의 850만 달러가 이동하도록 했습니다.

Platypus의 스테이블코인 USP는 달러 페어를 잃고 0.33달러로 하락했습니다. 이후 잠시 0.97달러로 회복되었지만, CoinGecko의 데이터에 따르면 이후 다시 0.48달러로 하락했습니다. Platypus는 Platypus의 사용자 예치금 중 35%만 다른 보유자산으로 커버된다고 밝혔습니다.

감사 회사 Omniscia의 기술 사후 분석 보고서에 따르면, Platypus에 대한 공격은 감사 후 잘못 배치된 코드로 인해 가능해졌습니다.

Omniscia는 2021년 11월 21일부터 12월 5일까지 MasterPlatypusV1 계약의 버전을 감사했습니다. 감사 대상 버전은 "외부 platypusTreasure 시스템과의 통합 포인트가 없었"으며, 따라서 코드 줄의 순서가 잘못된 부분이 포함되어 있지 않았습니다.

이 취약점은 EmergencyWithdraw 함수를 사용하여 MasterPlatypusV4 계약을 검증하는 과정에서 발생하는 것으로 보이며, 빌린 자산이 한도를 초과할 때만 실패합니다.

이를 통해 공격자는 플래시론을 사용하여 담보가 포함된 계약의 USP 유동성 검증 메커니즘에 있는 논리 오류를 악용할 수 있었습니다.

Platypus의 사용자 보상 계획

2월 18일 트윗에서 Platypus는 피해 보상을 위한 계획을 수립 중이며, 사용자가 프로토콜 내에서 손실을 실현하지 않도록 요청했습니다. 이는 회사의 문제 관리에 더 큰 어려움을 초래할 수 있기 때문입니다.

프로토콜은 자산 청산도 일시 중단했다고 밝혔습니다. 회사는 현재 사용자의 손실에 대한 보상 계획을 수립 중이며, 곧 공개될 예정입니다.

회사에 따르면 법적 집행관 등 다양한 당사자가 현재 자금 회수 과정에 관여하고 있습니다. Platypus는 다음 단계에 대한 자세한 내용은 곧 공개될 것이라고 밝혔습니다.

일부 자금은 Aave 프로토콜에 잠겨 있습니다. 회사는 Aave 거버넌스 포럼에서 회수 제안의 승인을 받아 자금을 회수할 수 있는 방법을 모색하고 있습니다.

자금 회수 노력

공격 이후 암호화폐 커뮤니티 구성원들은 자금을 회수하기 위해 힘을 모았습니다. 암호화폐 사기 연구원인 ZachXBT는 트위터에서 여러 체인에서의 체인 기록을 검토한 후 공격자의 지갑 주소를 추적했다고 말했습니다.

Platypus는 BlockSec의 도움을 받아 해커로부터 240만 달러의 USDC를 회수하기 위해 풀 계약을 업데이트했습니다. Twitter 사용자 nervoir에 따르면, 계약이 USDC를 USP 발행을 위한 담보로 예치할 때(해커가 이를 플래시론으로 오인하도록 속임), 계약이 USDC 0을 다시 상환해야 한다고 속일 수 있도록 업데이트했다고 합니다.

nervoir은 가짜 풀에서 나온 USDC가 일반적인 프론트런너를 피하기 위해 하드코딩된 주소로 전송되었다고 트윗했습니다. 다른 자산들은 회수하기 더 어려울 수 있지만, 풀 코드를 통제하고 있으므로 상당한 통제력을 가지고 있다고 밝혔습니다.

이러한 노력 외에도 회사는 Binance, Tether, Circle과 협력하여 해커의 자금을 동결하고 추가 손실을 방지하고 있습니다. 팀은 또한 법 집행 기관에 연락 중이며, 확인 후 추가 발표를 할 예정입니다.