Platypus ist das neueste Protokoll der dezentralen Finanzwirtschaft (DeFi), das angegriffen wurde. Tatsächlich wurde es Opfer eines Hacks im Wert von 8,5 Millionen US-Dollar, nachdem es über eine Flash-Loan-Methode manipuliert worden war. Glücklicherweise konnte ein großer Teil der Gelder dank der Kooperationsbemühungen verschiedener Akteure bereits wiederhergestellt werden.
Platypus werden 8,5 Millionen Dollar gestohlen
Das auf Avalanche (AVAX) gehostete Dezentralisierte Finanzprotokoll (DeFi) Platypus wurde im Laufe des 16. Februar im Wert von 8,5 Millionen US-Dollar gehackt. Die Information wurde zuerst von der Blockchain-Sicherheitsfirma CertiK aufgegriffen, bevor sie heute von Platypus auf Twitter bestätigt wurde.
Dear Community,
We regret to inform you that our protocol was hacked recently, and the attacker used a flaw in our USP solvency check mechanism. They used a flashloan to exploit a logical error in the USP solvency check mechanism in the contract holding the collateral.– Platypus (++) (@Platypusdefi) February 17, 2023
Laut Platypus betrifft der Hack ausschließlich den Hauptliquiditätspool, der USP (den Stablecoin des Protokolls) enthält, und die anderen Pools sollen sicher sein. Derzeit sind die Kundengelder des betroffenen Pools jedoch vordergründig nur noch zu 35 % gedeckt.
Der USP hat daher für einige Zeit seine Bindung an den US-Dollar verloren und damit 50 % seines Referenzkurses eingebüßt.
USP-Kurs über 72 Stunden
Der Angreifer nutzte zur Erreichung seiner Ziele eine Flash-Loan-Methode, eine Form von Sofortkrediten, mit denen Arbitragemöglichkeiten gefunden werden können, die leider oft für Angriffe auf Protokolle verwendet werden. Dieses Verfahren war unter anderem bei dem Angriff auf das Nereus-Finance-Protokoll im September letzten Jahres verwendet worden.
In diesem Fall wurden die Gelder des Hackers zurückverfolgt, und ein Teil davon wurde bereits auf die Tether-Blacklist gesetzt. Platypus gab bekannt, dass er auch Circle und Binance kontaktiert hat, um zu versuchen, einen Teil der verbleibenden Gelder einzufrieren.
Identität des Hackers enthüllt
Der Ermittler ZachXBT, der für seine On-Chain-Ermittlungen bekannt ist, enthüllte die mutmaßliche Identität des Hackers, nachdem er verschiedene Hinweise untersucht hatte, die auf dieselbe Person hindeuteten. Die in dem Tweet identifizierte Person hat inzwischen ihr Twitter- und Instagram-Konto gelöscht.
Außerdem wurden Verhandlungen zwischen Platypus und dem Hacker aufgenommen, damit der Hacker die Gelder eventuell zurückgeben und einen Teil davon behalten kann. ZachXBT zufolge könnte eine Ablehnung seitens des Hackers dazu führen, dass die Justiz gegen ihn ermittelt.
Hi @retlqw since you deactivated your account after I messaged you.
Ich habe Adressen von dem Betrieb @Platypusdefi zu Ihrem Konto zurückverfolgt und stehe in Kontakt mit ihrem Team und Austausch.
We’d like to negotiate returning of the funds before we engage with law enforcement. pic.twitter.com/oJdAc9IIkD
– ZachXBT (@zachxbt) February 17, 2023
“ Ich habe die Adressen Ihres Kontos aus dem Platypus-Exploit zurückverfolgt und stehe in Kontakt mit ihrem Team und einigen Exchanges. […] Ich habe Ihre Transaktionshistorie über mehrere Blockchains hinweg untersucht, was mich zu Ihrer ENS-Adresse retlqw.eth geführt hat. Ihr OpenSea-Konto ist direkt mit Ihrem Twitter verknüpft und Sie haben einen Tweet über den Platypus-Exploit geliked. „
Nach dem neuesten Tweet von Platypus soll es dem Protokoll gelungen sein, dank der Kooperation mit der Blockchain-Prüfungsfirma BlockSec 2,4 Millionen USDC zu erbeuten, was etwas mehr als einem Viertel der Gesamtsumme entspricht.
