CREAM Finance Attack fører til et tab på $23 millioner i AMP og ETH

Nye token-standarder introducerer kompleksitet, som DeFi-applikationer stadig lærer at kæmpe med.

Godt eksempel: Pengemarkedet CREAM Finance blev ramt af et genindtræden angreb den 30. august, der gjorde det muligt for angribere at dræne 22.8 millioner dollars i Flexas AMP-token og 4.2 millioner dollars ETH (baseret på markedspriserne midt på formiddagen mandag).

Blockchain-sikkerhedsfirmaet Peckshield tilskrev angrebet den måde, AMP-tokenet fungerer på. Firmaet tweetede, "Hacket er gjort muligt på grund af en reentrancy-fejl introduceret af $AMP, som er et ERC-777-lignende token og udnyttet til at genlåne aktiver under dets overførsel, før det første lån opdateres."

Med 82.4 mia. USD i aktiver, der i øjeblikket er låst fast på decentraliserede finansieringskontrakter (DeFi) smarte kontrakter, præsenterer industrien en fristende honningpot for cyberkriminelle. Der har været en række lignende angreb i år, inklusive et tidligere angreb på CREAM i februar.

Flexa er et kryptoaktiveret betalingsnetværk, der kører på Ethereum. Det bruger sit AMP-token til at stille sikkerhed for betalinger på sit netværk, indtil de er afsluttet. Dets grundlægger, Tyler Spalding, fortalte The Defiant via Telegram, "Vi tror, ​​at AMP fungerer som forventet/tilsigtet. Ser ud til at være en flashlånssårbarhed på CREAM." 

Kendte problemer?

De fleste cyberkriminelle kommer ikke kreativt med helt nye bedrifter. Mange gange forsøger de bare kendte angreb på forskellige netværk for at se, om nogen virker. Som et eksempel sagde Spalding, baseret på hans forståelse, at problemet, der førte til angrebet på CREAM, svarede til det, ConsenSys Diligence havde. identificeret på Uniswap i 2019. Hans team har kontaktet CREAM for at koordinere, hvad de skal gøre næste gang.

Emilio Frangella fra det tekniske team ved en anden pengemarkedsprotokol Aave fortalte The Defiant, at ERC-777'ere kræver speciel håndtering. 

"Hvis protokollen ikke har ordentlig beskyttelse mod genindtræden eller ikke er implementeret på en måde, der gør genindtræden harmløs, kan dette bruges til at ødelægge protokollens interne regnskab. Det kan for eksempel medføre, at man har en bruger med en meget højere sikkerhed, end hvad der rent faktisk er indsat,” skrev Frangella via Telegram.

CREAM Finance var ikke umiddelbart tilgængelig for The Defiant.

Kilde: https://thedefiant.io/cream-attack-23-million-amp-eth/?utm_source=rss&utm_medium=rss&utm_campaign=cream-attack-23-million-amp-eth