CREAM Finance Attack fører til $23 millioner tap i AMP og ETH

Nye token-standarder introduserer kompleksitet som DeFi-applikasjoner fortsatt lærer å takle.

Et godt eksempel: Pengemarkedet CREAM Finance ble rammet av et reentrancy-angrep 30. august som gjorde det mulig for angripere å tappe $22.8 millioner i Flexas AMP-token og $4.2 millioner verdt av ETH (basert på markedspriser midt på morgenen mandag).

Blockchain-sikkerhetsselskapet Peckshield tilskrev angrepet måten AMP-tokenet fungerer på. Selskapet tvitret, "Hacket er gjort mulig på grunn av en reentrancy-feil introdusert av $AMP, som er et ERC-777-lignende token og utnyttet til å låne eiendeler på nytt under overføringen før det oppdateres det første lånet."

Med $82.4 milliarder i eiendeler for øyeblikket låst opp på desentralisert finans (DeFi) smarte kontrakter, presenterer industrien en fristende honningpott for nettkriminelle. Det har vært en rekke lignende angrep i år, inkludert et tidligere angrep på CREAM i februar.

Flexa er et kryptoaktivert betalingsnettverk som kjører på Ethereum. Den bruker AMP-tokenet sitt for å sikre betalinger på nettverket til de er ferdigstilt. Grunnleggeren, Tyler Spalding, sa til The Defiant via Telegram, "Vi tror AMP fungerer som forventet/tiltenkt. Ser ut til å være en sårbarhet for flashlån på CREAM.» 

Kjente problemer?

De fleste nettkriminelle kommer ikke kreativt med helt nye bedrifter. Mange ganger prøver de bare kjente angrep på forskjellige nettverk for å se om noen fungerer. Et eksempel, sa Spalding, basert på hans forståelse, var problemet som førte til angrepet på CREAM likt det ConsenSys Diligence hadde. identifisert på Uniswap i 2019. Teamet hans har tatt kontakt med CREAM for å koordinere hva de skal gjøre videre.

Emilio Frangella fra det tekniske teamet ved en annen pengemarkedsprotokoll Aave fortalte The Defiant at ERC-777 krever spesiell håndtering. 

"Hvis protokollen ikke har riktige reentrancy-beskyttelser eller ikke er implementert på en måte som gjør reentrance ufarlig, kan dette brukes til å ødelegge protokollens interne regnskap. Dette kan føre til at man for eksempel har en bruker med mye høyere sikkerhet enn det som faktisk er satt inn», skrev Frangella via Telegram.

CREAM Finance var ikke umiddelbart tilgjengelig for The Defiant.

Kilde: https://thedefiant.io/cream-attack-23-million-amp-eth/?utm_source=rss&utm_medium=rss&utm_campaign=cream-attack-23-million-amp-eth