يوجد خلل في فرع `Claim` ضمن `hydra-plutus/validators/deposit.ak` حيث يتحقق النظام فقط من تطابق `datum.head id` مع `redeemer.currencySymbol` وأن المعاملة تتم قبل الموعد النهائي للإيداع. يفشل الإجراء في اشتراط إنفاق UTxO لرمز حالة Head في نفس المعاملة ولا يضع قيودًا على المخرجات. نتيجة لذلك، بعد تأكيد الإيداع عبر نقطة النهاية `POST /commit` ، يمكن لأي طرف ثالث استهلاك UTxO الخاص بالإيداع المعلق قبل الموعد النهائي وتوجيه الأصول إلى عنوان عشوائي. يحدث هذا لأن إنفاق الإيداع المستقل يتجاوز فحوصات الأمان الخاصة بـ Head validator. ينطبق هذا الهجوم على الإيداعات المعلقة ضمن الموعد النهائي الافتراضي، وهو ثلاثة أضعاف `depositPeriod`.