PANews 2月17日消息，安全公司CertiK Alert在推特上表示，穩定幣交易項目Platypus在AAVE上遭遇閃電貸攻擊，導致總價值約900萬美元的資產損失。此時，大部分被盜資金仍留在攻擊者的合約地址中，部分資金被發送到EOA和AAVE池中。
CertiK分析稱，漏洞似乎在於emergencyWithdraw函數對MasterPlatypusV4合約的驗證，只有在藉入資產超過借入限額時才會失敗。然後該函數繼續轉移所有用戶的存款資產，而不考慮用戶借入的資產價值。具體過程如下：1.攻擊者將4400萬枚USDC存入Platypus USDC資產（LP-USDC）並獲得4400萬枚LP-USD。攻擊者隨後將LP-USD存入MasterPlatypusV4。2.攻擊者調用函數borrow()在合約platyputreasure中鑄造約4179萬枚USP。這是藉款限額所允許的最高金額，該限額為用戶抵押品的95%。 3.因為攻擊者沒有借入超過95%的上限，isSolvent值返回為“true”，這使得攻擊者能夠調用EmergencyWithdraw函數和全部4400萬枚LP-USDC。 4.攻擊者隨後從Platypus USDC資產(LP-USDC) 中提取了4400萬枚USDC，並開始通過Platypus Finance池將USP換成多種資產。償還閃電貸後，Platypus平台的總損失約為900萬美元。
Platypus就此事在官方電報群中發佈公告稱：“我們目前正在努力評估情況，並將就此及時進行溝通。目前，所有行動都已暫停，直到情況更加明朗。”數據顯示，Platypus項目的原生穩定幣USP已脫錨至0.4785美元。