CREAM Finance Attack leder till $23 miljoner förlust i AMP och ETH

Nya tokenstandarder introducerar komplexitet som DeFi-applikationer fortfarande lär sig att hantera.

Bra exempel: Penningmarknaden CREAM Finance drabbades av en återinträdesattack den 30 augusti som gjorde det möjligt för angripare att tappa 22.8 miljoner dollar i Flexas AMP-token och 4.2 miljoner dollar i ETH (baserat på marknadspriser under måndagens handel mitt på morgonen).

Blockchain-säkerhetsföretaget Peckshield tillskrev attacken till hur AMP-tokenen fungerar. Företaget twittrade, "Hacket är gjort möjligt på grund av en återinträdesbugg introducerad av $AMP, som är en ERC-777-liknande token och utnyttjas för att återlåna tillgångar under överföringen innan den första lånet uppdateras."

Med $82.4 miljarder i tillgångar som för närvarande är låsta på smarta kontrakt med decentraliserad finans (DeFi), presenterar branschen en lockande honungskruka för cyberkriminella. Det har förekommit en rad liknande attacker i år, inklusive en tidigare attack på CREAM i februari.

Flexa är ett kryptoaktiverat betalningsnätverk som körs på Ethereum. Den använder sin AMP-token för att ställa säkerheter för betalningar på sitt nätverk tills de är slutförda. Dess grundare, Tyler Spalding, sa till The Defiant via Telegram, "Vi tror att AMP fungerar som förväntat/avsett. Verkar vara en sårbarhet för flashlån på CREAM." 

Kända problem?

De flesta cyberbrottslingar kommer inte kreativt på helt nya bedrifter. Många gånger försöker de bara kända attacker på olika nätverk för att se om några fungerar. Som ett exempel, sa Spalding, baserat på hans förståelse, var problemet som ledde till attacken mot CREAM liknande det som ConsenSys Diligence hade identifierades på Uniswap 2019. Hans team har kontaktat CREAM för att samordna vad de ska göra härnäst.

Emilio Frangella från det tekniska teamet vid ett annat penningmarknadsprotokoll Aave, sa till The Defiant att ERC-777 kräver speciell hantering. 

"Om protokollet inte har korrekt återinträdesskydd eller inte implementeras på ett sätt som gör återinträde ofarligt, kan detta användas för att förstöra protokollets interna redovisning. Det kan till exempel leda till att en användare har en mycket högre säkerhet än vad som faktiskt är insatt”, skrev Frangella via Telegram.

CREAM Finance var inte omedelbart tillgänglig för The Defiant.

Källa: https://thedefiant.io/cream-attack-23-million-amp-eth/?utm_source=rss&utm_medium=rss&utm_campaign=cream-attack-23-million-amp-eth