El protocolo de préstamos financieros descentralizados (DeFi) Cream Finance sufrió un exploit el lunes cuando un hacker utilizó una debilidad en el contrato de tokens $AMP para realizar un ataque de préstamo flash, lo que provocó el robo de 18,8 millones de dólares.
El protocolo notificó a la comunidad esta mañana que 418.311.571 en AMP y 1.308,09 ETH se perdieron en el ataque. Por el momento, el suministro y el préstamo de AMP se han puesto en pausa. El equipo no ha respondido a una solicitud de comentarios sobre las conclusiones de la investigación en curso o el momento en que se reanudará el préstamo de AMP.
Un análisis post-mortem de la firma de análisis de blockchain PeckShield está en marcha, según Cream. PeckShield ha tuiteado algunas de sus conclusiones hasta el momento, aunque no está claro si se publicará una autopsia formal junto con Cream.
Según PeckShield, el contrato de $AMP introdujo un error de reentrada que permite un ataque de préstamo flash. Este tipo de ataques permite a los piratas informáticos seguir tomando prestados activos con un mínimo de garantías, ya que pueden seguir volviendo a tomar prestados los fondos siempre que se devuelvan dentro de un bloque de transacciones.
En el caso de Cream, el hacker realizó un préstamo flash de 500 ETH y depositó los fondos como garantía antes de pedir prestados 19 millones de AMP, según el análisis inicial de PeckShield. A continuación, utilizaron la vulnerabilidad de reentrada en el contrato de $AMP para pedir prestados adicionalmente 355 ETH dentro de la transacción de $AMP antes de autoliquidarse.
El hacker ejecutó este proceso a lo largo de 17 transacciones, lo que provocó la pérdida total de fondos, que ahora asciende a más de 18 millones de dólares. Aunque no está claro quién es el atacante, PeckShield está monitorizando la dirección.
«Los fondos siguen aparcados en 0xCE1F….6EDE. Estamos monitoreando activamente esta dirección para cualquier movimiento», dijeron en un tweet.
Ningún otro mercado se vio afectado en el ataque, según Cream.
Aunque este es el primer ataque de préstamos flash que afecta a CreamFinance, el protocolo experimentó un secuestro de nombre de dominio a principios de este año. A los usuarios se les presentaba un portal web falso cuyo objetivo era engañar a los usuarios para que introdujeran información relacionada con sus claves privadas.
Los préstamos flash siguen siendo una herramienta controvertida en el ecosistema DeFi. Algunos fundadores del protocolo siguen señalando los posibles beneficios y aspectos igualadores a pesar de los numerosos hackeos que ha sufrido la herramienta.