Команда DeFi-протокола Platypus в сети Avalanche снова оказалась в центре внимания после инцидента, произошедшего 12 октября, когда хакер воспользовался уязвимостью в механизме мгновенного займа, чтобы похитить более 1,5 миллиона долларов в токенах AVAX из пула ликвидности. Тем не менее, благодаря успешным переговорам, проведенным 17 октября, команда смогла вернуть 90% украденных средств обратно проекту.

В децентрализованной финансовой системе функция мгновенного займа или флэш-кредитования позволяет пользователям занимать активы без предоставления залога, с условием их возврата в рамках одного блока транзакций. Тем не менее, уязвимости этого механизма могут быть злоупотреблены для манипулирования рыночными ценами.

Злоумышленник, занимая большие суммы средств, может создать искусственные рыночные условия, которые позволят ему извлечь прибыль из разницы в ценах, прежде чем вернуть займ. После взлома команда Platypus временно приостановила работу всех пулов, чтобы выявить и устранить проблему, а также провести аудит безопасности кода.

В итоге, разработчики проекта достигли соглашения с хакером, согласно которому тот вернул 90% средств, оставив 10% в качестве вознаграждения. Взамен они согласились не обращаться в правоохранительные органы для расследования инцидента и поиска хакера. Ущерб от взлома составил 18 000 AVAX.

Команда Platypus отметила, что не все активы имеют полное покрытие 100%, поэтому вывод средств может быть в форме комбинации разных токенов в пуле, стоимость которых соответствует сумме депозита.

С момента инцидента общая заблокированная стоимость (TVL) проекта упала на 99,3%, и на 7 ноября она составляла $77 770.

Такой инцидент уже произошел в прошлом, когда в феврале Platypus потерял 9 миллионов долларов из-за аналогичной атаки, а стейблкоин проекта USP потерял свою привязку к доллару и упал на 53%.