Cream Finance, een groot decentralized finance (DeFi) project gericht op het lenen van cryptocurrencies, was vanochtend gehackt. De hacker heeft maar liefst $18,8 miljoen aan crypto gestolen door misbruik van een fout in het programma te maken.
De fout werd geïntroduceerd door de amp (AMP) token en de hacker is met 418 miljoen AMP en 1.308 ethereum (ETH) ervandoor, meldt Cream Finance op 30 augustus. Inmiddels zou het misbruik zijn gestopt door de lening functies op AMP stil te leggen. Er zouden geen andere markten zijn getroffen, zegt Cream:
C.R.E.A.M. v1 market on Ethereum has suffered an exploit, resulting in a loss of 418,311,571 in AMP and 1,308.09 in ETH, by way of reentrancy on the AMP token contract.
We have stopped the exploit by pausing supply and borrow on AMP. No other markets were affected.
— Cream Finance 🍦 (@CreamdotFinance) August 30, 2021
PeckShield, een blockchain analyse- en beveiligingsbedrijf, meldt dat de hack mogelijk was door een zogeheten ‘re-entrance bug’ die werd geïntroduceerd door AMP. De hacker maakte een zogenaamde flash loan aan, een manier om zeer snel te lenen via DeFi, en stortte vervolgens het geld als onderpand. Daarna leent de hacker de crypto en maakt hij/zij gebruik van de fout om opnieuw een lening af te sluiten en de oorspronkelijke lening te liquideren.
3/4 Specifically, in the example tx, the hacker makes a flashloan of 500 ETH and deposit the funds as collateral. Then the hacker borrows 19M $AMP and makes use of the reentrancy bug to re-borrow 355 ETH inside $AMP token transfer(). Then the hacker self-liquidates the borrow. pic.twitter.com/ryVX2RoxhJ
— PeckShield Inc. (@peckshield) August 30, 2021
Dit soort taferelen zien we de laatste tijd vaker door de opkomst van de DeFi markt. Er gaan grote bedragen rond in deze markt, maar veel projecten staat nog in de kinderschoenen waardoor af en toe een nieuwe fout wordt ontdekt en gelijk wordt misbruikt door hackers. Het was voor Cream niet de eerste keer dit jaar.
De AMP koers krijgt een behoorlijke klap te verduren vandaag. De koers zakte vanochtend van $0,059 naar $0,048, een daling van 19% terwijl het volume hard stijgt. Langzamerhand lijkt de koers iets te herstellen.
Onlangs had een hacker zelfs meer dan $600 miljoen aan crypto gestolen via het Poly Network. Het was de grootste DeFi hack ooit. Achteraf bleek de hacker wellicht goede intenties te hebben, aangezien hij inmiddels alle gestolen crypto weer heeft teruggestuurd naar Poly.
