Existe uma falha no ramo `Claim` em `hydra-plutus/validators/deposit.ak` onde o sistema verifica apenas se `datum.head id` corresponde ao `redeemer.currencySymbol` e se a transação ocorre antes do prazo de depósito. O processo não exige o gasto do UTxO do token de estado Head na mesma transação nem restringe as saídas. Consequentemente, após um depósito ser confirmado através do endpoint `POST /commit`, um terceiro pode consumir o UTxO de depósito pendente antes do prazo e redirecionar os ativos para um endereço arbitrário. Isso acontece porque um gasto de depósito independente ignora as verificações de segurança do validador Head. O ataque é aplicável a depósitos pendentes dentro do prazo padrão, que é três vezes o `depositPeriod`.