Протокол Platypus Finance подвергся взлому на $2 млн

DeFi-проект Platypus Finance в сети Avalanche стал жертвой атаки, потеряв около $2 млн в цифровых активах. Первыми на это обратили внимание аналитики PeckShield.

Update: total loss >$2m pic.twitter.com/JnJQjn4Aik

— PeckShieldAlert (@PeckShieldAlert) October 12, 2023

После сообщения о взломе проект временно остановил все пулы ликвидности «из-за подозрительной активности».  

Due to suspicious activities in our protocol, we have taken the proactive measure of temporarily suspending all pools.
Further updates will be communicated to the community in a timely manner.
Thank you for your patience and understanding during this time.

— Platypus 🔺 (🦆+🦦+🦫) (@Platypusdefi) October 12, 2023

Вероятно, злоумышленник использовал эксплойт механизма мгновенного займа, нацеленный на пулы AVAX-sAVAX. Официальных комментариев об уязвимости пока не поступало. 

Platypus уже подвергался атаке в феврале этого года, в результате которой неизвестный вывел активы на $8,5 млн. Кроме того, стейблкоин проекта USP после взлома потерял привязку к доллару. 

Команда сообщила, что хакер воспользовался мгновенным займом и логической ошибкой в механизме проверки платежеспособности в контракте залога. Позднее полиция Франции задержала подозреваемых в атаке. 

Средства в основном пуле Platypus покрывали примерно 35% депозитов пользователей. Разработчики до сих пор выплачивают компенсации за утратившую привязку «стабильную монету». В общей сложности они вернули около $1,3 млн.

Update on USP compensation
1/ We used the reserved treasury for the 2nd round of compensation today.
Please note that volatile asset values have fluctuated since the plan's inception, resulting in a total refund of around 1.3m.
Compensation Page: https://t.co/LYUuUsKR8b

— Platypus 🔺 (🦆+🦦+🦫) (@Platypusdefi) September 26, 2023

По данным Immunefi, в третьем квартале потери индустрии от взломов и мошенничеств достигли $685,5 млн — на 59,9% больше показателя за аналогичный период прошлого года. 

Напомним, в октябре Web3-приложение Stars Arena в сети Avalanche лишилось 266 103 AVAX (~$3 млн на момент атаки) из-за «серьезной бреши в безопасности» смарт-контрактов.