CREAM Finance Attack leva a uma perda de US$ 23 milhões em AMP e ETH

Novos padrões de token introduzem complexidade com a qual os aplicativos DeFi ainda estão aprendendo a lidar.

Excelente exemplo: o mercado monetário CREAM Finance foi atingido por um ataque de reentrada em 30 de agosto que permitiu que os invasores drenassem US$ 22.8 milhões no token AMP da Flexa e US$ 4.2 milhões em ETH (com base nos preços de mercado no meio da manhã de segunda-feira).

A empresa de segurança Blockchain Peckshield atribuiu o ataque à forma como o token AMP funciona. A empresa tweetou, “O hack é possível devido a um bug de reentrada introduzido por $ AMP, que é um token semelhante ao ERC-777 e explorado para emprestar novamente ativos durante sua transferência antes de atualizar o primeiro empréstimo.”

Com US$ 82.4 bilhões em ativos atualmente bloqueados em contratos inteligentes de finanças descentralizadas (DeFi), a indústria apresenta um tentador honeypot para os cibercriminosos. Houve uma série de ataques semelhantes este ano, incluindo um ataque anterior em CREME em fevereiro.

Flexa é uma rede de pagamentos habilitada para criptografia que roda em Ethereum. Ela usa seu token AMP para garantir pagamentos em sua rede até que sejam finalizados. Seu fundador, Tyler Spalding, disse ao The Defiant via Telegram: “Achamos que o AMP está funcionando conforme esperado/pretendido. Parece ser uma vulnerabilidade de empréstimo instantâneo no CREAM.” 

Problemas conhecidos?

A maioria dos cibercriminosos não está inventando de forma criativa novas explorações. Muitas vezes, eles estão apenas tentando ataques conhecidos em redes diferentes para ver se algum funciona. Caso em questão, Spalding disse, com base em seu entendimento, que o problema que levou ao ataque ao CREAM foi semelhante àquele que a ConsenSys Diligence havia identificado no Uniswap em 2019. Sua equipe entrou em contato com o CREAM para coordenar o que fazer a seguir.

Emilio Frangella, da equipe técnica de outro protocolo do mercado monetário, Aave, disse ao The Defiant que os ERC-777 requerem tratamento especial. 

“Se o protocolo não tiver proteções de reentrada adequadas ou não for implementado de uma forma que torne a reentrada inofensiva, isso pode ser usado para atrapalhar a contabilidade interna do protocolo. Isso pode fazer com que, por exemplo, o usuário tenha uma garantia muito maior do que realmente é depositada”, escreveu Frangella via Telegram.

CREAM Finance não foi imediatamente contatado pelo The Defiant.

Fonte: https://thedefiant.io/cream-attack-23-million-amp-eth/?utm_source=rss&utm_medium=rss&utm_campaign=cream-attack-23-million-amp-eth