CRE:Cream Finance被盗3750美元，糙快猛的DeFi开发方式弊端初显

推特用户josebaredes今日下午发文称，CreamFinance遭遇黑客攻击，看起来他们已经赚到了13,000ETH。而此时，Yearn创始人AndreCronje与Cream创始人JeffreyHuang正在ClubHouse谈笑风生。

CreamFinance官方注意到该事后，紧急发布推文称，我们意识到潜在的漏洞，并正在对此进行调查。这场黑客攻击到底是如何进行的？这场DeFi攻击事件又给我们带来哪些反思呢？

CreamFinance到底是如何被攻击？

TheBlock研究分析师@FrankResearcher在推特分析了CreamFinance推出的零抵押跨协议贷款IronBank被盗约3750美元资产的过程。

Discreet Labs宣布Peter Abilla为新任首席商务官:据官方消息，Discreet Labs宣布前Harmony核心成员 Peter Abilla 已经加入 Findora 技术开发商 Discreet Labs，并担任首席商务官。Peter Abilla 曾担任 Mainframe 和 ThunderCore 的增长营销和社区副总裁，也曾在 Oasis Labs 从事社区和开发人员营销工作，并推动 Harmony 构建了一个健康的DeFi系统，为 Harmony 生态系统带来增长。其在软件开发和加密领域丰富的经验将帮助 Discreet Labs 的旗舰项目 Findora 扩展以太坊隐私。[2022/8/5 12:04:02]

黑客具体攻击操作如下：

加密借贷平台Cred在诉讼中将其破产归咎于加密交易所Uphold:7月23日消息，加密借贷平台Cred的清算信托周五起诉加密货币交易所Uphold，称Uphold策划了最终导致Cred在2020年寻求破产保护的产品。

根据Cred Inc. Liquidation Trust的说法，Cred和Uphold共同创建和推广了CredEarn，Cred通过CredEarn借出超过1亿美元的客户存款，然后在2020年破产。诉讼称，“Uphold通过错误地将其宣传为‘安全’、‘有保障’、‘有保险’和‘完全对冲’，促使成千上万的用户加密货币借给CredEarn计划。”诉讼中写道，Uphold知道Cred正在实施一种高风险的对冲策略，并且存在与加密货币收益计划相关的监管风险，Uphold和Schatt没有承担所有这些风险，而是决定通过Cred运行 Earn来将风险从Uphold转移。在一份声明中，Uphold对诉讼中提出的主张提出异议。Uphold坚称Cred完全独立拥有和运营，并表示在向Uphold客户推广产品时，它不知道CredEarn的财务问题。（CoinDesk）[2022/7/23 2:32:58]

1.攻击者使用AlphaHomora从IronBank借入sUSD，每次借入资金都是上次借款的两倍。

Cream Finance宣布以太坊上C.R.E.A.M.将下线COVER:9月5日消息，Cream Finance发推表示，以太坊上C.R.E.A.M.将下线COVER，目前已暂停COVER市场供应/借贷。Cream Finance提醒用户取回并偿还COVER代币。[2021/9/5 23:01:39]

2.攻击者通过两笔交易来完成任务，每次将资金借给IronBank获得cySUSD。

3.在某些时候，攻击者从Aavev2获得了180万美元的USDC闪电贷款，并使用Curve将USDC换成了sUSD。

4.攻击者把sUSD借给IronBank，使得他们可以继续获得cySUSD。

Morgan Creek创始人：Winklevoss兄弟将被称为这个时代最伟大的投资者:金色财经报道，Morgan Creek Digital联合创始人Jason Williams发推称，由于持有的比特币以及对加密领域的的投资，Winklevoss兄弟最终将被称为这个时代最伟大的投资者，未来的万亿富翁。据悉，Winklevoss兄弟曾透露他们持有12万枚比特币。[2020/7/7]

5.一些sUSD用于偿还闪电贷款。

6.此外，1000万美元的闪电贷款也被用来增加cySUSD的数量。

7.最终攻击者获得了数额巨大的cySUSD，这让他们可以从IronBank借到任何资产。

8.随后攻击者借到了13.2万枚WETH、360万枚USDC、560万枚USDT、420万枚DAI。

9.稳定币已转入Aavev2，随后向IronBank部署者转入1000ETH、向Homora部署者转入1000ETH，向Tornado转入220ETH、向Tornadogrant转入100ETH，还有大约1.1万枚ETH在攻击者钱包地址中。

Cream目前调查进展

Cream.Finance发现漏洞后，先是发推文“已暂停IronBank的资产借款”，“CREAMv1资金是安全的”，官方不久后将这两条推文全部删除。

接着Cream.Finance再发推文称：对Cream合约和市场已完成调查，目前运行正常。V1和V2均已重新启用。检查报告随后发布。

在Cream.Finance被黑客攻击后，AlphaHomoraV2也遭受攻击。AlphaFinanceLab官方紧急处理，随后发推文称：已收到关于AlphaHomoraV2漏洞的通知。官方正与AndreCronje及Cream.Finance一起研究。与此同时，漏洞已被修复，正在调查被盗资金，且已经锁定主要嫌疑人。官方表示，用户不能从AlphaHomorav2借入更多资金，即没有新的杠杆头寸，只能在现有头寸上借入。V1是安全的，可以运行了。官方正处于高度戒备状态，事后将披露更多细节。

糙快猛DeFi开发方式带来的弊端和反思

今日DeFi项目漏洞频发，展示出DeFi在迅猛发展背后的问题，或许到了DeFi开发者慢下来思考一下的时候了。在Cream.Finance等DeFi项目被攻击后，神鱼发微博称，以AC为代表的糙快猛的DeFi开发方式，缺乏回归测试，弊端开始显现。值得一提的是，Yearn生态多个项目发生过黑客攻击。其中包括Pickle、SushiSwap、Yearn和今日的Cream。

2月12日，据特拉华州官网显示，灰度投资除YFI外，还新注册SNX、SUSHI、STX和COMP、MKR五种信托基金产品，注册时间均为2月10日。

虽然灰度CEO曾表示，注册信托实体并不代表会推出相应产品，请用户谨慎投资。但市场受消息影响异常兴奋，从而促使这些DeFi项目最近两日迅猛上涨，YFI价格更是一度超过BTC。然而，今日的黑客攻击事件，直接影响了市场信心，DeFi龙头领跌，市场似乎一下子冷静了许多。

DeFi的开发类似于乐高积木，其可组合性和可扩展性为区块链行业带来了新的发展空间；但是，DeFi中如果有一块”积木“出现问题，也非常容易引发系统性崩溃，从而为用户带来无法弥补的损失。DeFi行业还很年轻，历经的时间的考验还很短，黑客事件接连发生后，开发者或许也该重新审视一下DeFi带来的危机和机遇，从而打造出真正经得起时间考验的去中心化金融体系。

标签：CRECREAREACREAMCREP价格CREAMREAP价格cream币最新消息

Filecoin热门资讯