WuShuo a appris que le protocole USPD a publié un tweet indiquant qu'il a subi une faille de sécurité majeure. L'attaquant a utilisé la technique « CPIMP (proxy intermédiaire caché) » pour s'emparer à l'avance des droits d'administrateur du contrat proxy lors de la phase de déploiement, se faisant passer pour une version auditée et restant en sommeil pendant plusieurs mois avant de lancer l'attaque. Il a ainsi frappé environ 98 millions de jetons USPD et volé environ 232 stETH. L'équipe USPD affirme que cet incident n'est pas dû à une faille dans la logique du smart contract. Elle a signalé les adresses concernées aux principales plateformes d'échange afin de geler les fonds, et précise que si l'attaquant restitue 90 % des actifs volés, il pourra conserver 10 % en tant que prime pour la découverte de la faille.