Атака CREAM Finance призвела до втрат 23 мільйонів доларів США в AMP і ETH

Нові стандарти токенів створюють складність, з якою програми DeFi ще вчаться боротися.

Яскравий приклад: CREAM Finance на грошовому ринку зазнала атаки повторного входу 30 серпня, яка дозволила зловмисникам витягти 22.8 мільйона доларів у токені AMP Flexa та ETH на суму 4.2 мільйона доларів (виходячи з ринкових цін під час ранкових торгів у понеділок).

Компанія безпеки блокчейнів Peckshield пояснила атаку тим, як функціонує токен AMP. Компанія написала у Twitter, «Злом став можливим через помилку повторного входу, представлену $AMP, який є маркером, схожим на ERC-777, і використовується для повторного запозичення активів під час його передачі перед оновленням першого запозичення».

З активами в розмірі 82.4 мільярда доларів США, які зараз заблоковані за смарт-контрактами децентралізованого фінансування (DeFi), галузь є спокусливою приманкою для кіберзлочинців. Цього року було скоєно безліч подібних атак, включаючи попередню атаку на КРЕМ в лютому.

Flexa — це платіжна мережа з підтримкою криптографії, яка працює на Ethereum. Він використовує свій токен AMP для забезпечення платежів у своїй мережі, доки вони не будуть завершені. Його засновник, Тайлер Сполдінг, сказав The Defiant через Telegram: «Ми вважаємо, що AMP функціонує, як очікувалося/заплановано. Здається, у CREAM є вразливість швидкої позики». 

Відомі проблеми?

Більшість кіберзлочинців не творчо придумують абсолютно нові експлойти. Багато разів вони просто пробують відомі атаки в різних мережах, щоб перевірити, чи працює якась атака. У цьому випадку Сполдінг сказав, що, виходячи з його розуміння, проблема, яка призвела до атаки на CREAM, була подібна до тієї, яку мала ConsenSys Diligence ідентифіковано на Uniswap у 2019 році. Його команда звернулася до CREAM, щоб узгодити, що робити далі.

Еміліо Франгелла з технічної групи іншого протоколу грошового ринку Aave сказав The Defiant, що ERC-777 потребують особливого поводження. 

«Якщо протокол не має належного захисту від повторного входу або не реалізований таким чином, щоб зробити повторне входження нешкідливим, це може бути використано, щоб зіпсувати внутрішній облік протоколу. Це може призвести, наприклад, до того, що користувач матиме набагато більшу заставу, ніж фактично внесене», – написав Франгелла в Telegram.

The Defiant не одразу зв’язався з CREAM Finance.

Джерело: https://thedefiant.io/cream-attack-23-million-amp-eth/?utm_source=rss&utm_medium=rss&utm_campaign=cream-attack-23-million-amp-eth