USD:DeFi之道丨詳解Cream鐵金庫被黑客竊取3750萬美元事件，又是閃電貸的黑鍋_deFIRE

2月13日下午4點左右，DeFi借貸平臺CreamFinance官方推特發布消息稱，

“我們意識到一個潛在的漏洞，并正在對此進行調查。感謝您在我們進行調查時的支持。”

根據ICOAnalytics分析，在這次攻擊中，攻擊者利用CreamFinance的鐵金庫轉走13000多個ETH。0x905315602Ed開頭地址在Etherscan上已被標記為「CreamFinanceIronBankExploiter」，該地址部分資產已發送至以太坊隱私交易平臺Tornado.Cash進行混幣交易，此外還向杠桿挖礦協議AlphaHomora部署者發送了1000ETH，向CreamFinance發送了1000ETH，向Tornadogrant發送了100ETH，該地址目前持有超1353萬美元的ERC20代幣。

DeFi 概念板塊今日平均漲幅為2.04%:金色財經行情顯示，DeFi 概念板塊今日平均漲幅為2.04%。47個幣種中26個上漲，21個下跌，其中領漲幣種為：JST(+28.58%)、BTM(+25.97%)、BAND(+21.87%)。領跌幣種為：LBA(-9.79%)、AST(-8.77%)、HDAO(-7.99%)。[2021/4/1 19:35:38]

不過，此次攻擊的發生并不是因為CreamFinance合約出現問題，而是攻擊者通過AlphaHomoraV2的漏洞完成的，漏洞出現在Ironbank的Alpha一端。

Cream最初發布推文稱，CREAMv1資金是安全的，將暫停IronBank資產借款。但官方之后刪除了這條推文后補充道，調查發現，Cream的合約和市場運作正常。V1和V2市場均已重新啟用。隨后將披露漏洞細節。

“WT?DeFi挖礦周”之“鎖倉WT參與CRV挖礦理財”正式開售:9月15日10:00，由WBF交易所發起的“WT?DeFi挖礦周”——“鎖倉WT參與CRV挖礦理財”正式開售。存WT挖CRV代幣，第一期額度100萬枚WT，挖出的CRV將會以空投形式返還給參與用戶。詳情請見WBF交易所官網。

WBF針對“DeFi挖礦成本高昂、操作流程繁瑣，普通用戶參與門檻極高”的痛點，推出“WT?DeFi挖礦周”活動，用戶鎖倉WT即可一鍵參與DeFi流動性挖礦，簡化普通投資者參與DeFi挖礦的操作流程、降低了參與成本，將推動更多用戶參與DeFi浪潮。[2020/9/15]

TheBlock研究分析師IgorIgamberdiev在推特上分析了這次攻擊的過程：

“Cream的Ironbank被黑客盜走3750萬美元，讓我們看看發生了什么。

火幣大學校長于佳寧：DeFi+礦業最重要的是從思維層面實現打通:8月19日，火幣大學校長于佳寧受邀參加新浪潮之巔，數字金融礦業大會，以“DeFi時代的數字礦業”為主題進行演講。

于佳寧認為，挖礦是區塊鏈的基石，DeFi+礦業可以有很多新玩法，新產品，最重要的是從思維層面實現打通。區塊鏈是商業世界中“氫彈級別”的武器，其力量來自于網絡效應（空間價值）與金融杠桿（時間價值）的相乘得到的“乘數威力”。區塊鏈本質上是結合了技術創新、數字金融、經濟社群和產業應用四位一體的深度融合創新的“新物種。因此，區塊鏈思維=互聯網思維x金融思維x社群思維x產業思維，將是未來世界最重要的思維方式。[2020/8/19]

1.攻擊者使用AlphaHomora從IronBank借入sUSD。在攻擊過程中，他們每次借的錢是前一次的兩倍。

當前DeFi協議借貸總量為14.65億美元:金色財經報道，DeBank數據顯示，當前DeFi協議借貸總量約為14.65億美元。其中，Compound平臺約9億美元，占總體份額61.42%，Maker平臺約4.12億美元，占總體份額28.12%，Aave平臺約1.28億美元，占總體份額8.79%。dYdX平臺約0.23億美元，占總體份額1.61%。

注：DeFi其實質是基于一套開放的賬戶體系，保證全球任何人都可以無門檻使用的一系列金融服務。這些金融服務主要由一些開源的智能合約來提供，整個服務的代碼和賬目都可以在區塊鏈上進行公開審計。[2020/8/17]

2.他們通過兩次交易來完成此操作，每次借出資金并還給IronBank，同時接收cySUSD。

3.在攻擊過程中，攻擊者從Aavev2那里獲得了180萬美元的USDC閃電貸，并使用Curve將USDC兌換為sUSD。

4.他們將這些sUSD借給IronBank，從而使他們可以繼續從IronBank借入和借出cySUSD。

5.當然，sUSD被用來償還閃電貸。

6.此外，還獲得了1000萬美元的閃電貸，也用于增加cySUSD的數量。

7.最后，他們的cySUSD數量達到了令人難以置信的數量，這使他們可以從IronBank借錢。

8.然后他們借入：

-13200WETH

-360萬USDC

-560萬USDT

-420萬DAI

9.這些穩定幣然后被存入Aavev2，1000ETH發送給IronBank合約部署者，1000ETH發送到Homora合約部署者，220ETH發送到TornadoCash，100ETH發送給gitcoin并資助給Tornado，還剩大約11000ETH仍處于攻擊者地址余額。

AlphaFinanceLab之后發推稱，我們收到關AlphaHomoraV2被攻擊的通知，現在正在與AndreCronje和Cream.Finance共同應對。漏洞已修復，正在調查被盜資金，已經鎖定了主要嫌疑人。用戶無法從AlphaHomorav2借入更多資金等于沒有新的杠桿頭寸，只能在現有頭寸上借入。V1在安全運行，我們正處于高度戒備狀態，區塊鏈安全研究員samczsun和其他人正在調查問題，隨后將披露更多信息。

又是閃電貸？

在這次攻擊中，我們再次看到了閃電貸的身影。有網友表示，什么時候能夠把閃電貸這種東西關掉？并@AAVE創始人StaniKulechov。

Kulechov回應稱，這些攻擊可以在閃電貸的情況下完成，實際上，閃電貸實際上是在幫助協議變得更有彈性，并且大多數閃電貸被消耗在諸如@DeFiSaver再融資和去杠桿工具。

2月5日，YearnFinancev1版本的yDAI機槍池被黑客攻擊，損失了1100萬美元，黑客同樣在攻擊中利用了閃電貸。

而在此前發生的各種DeFi黑客事件中，閃電貸的身影從未消失。閃電貸提供的無抵押貸款帶來了很多便利，但是這種便利同樣屬于黑客。如何防御閃電貸攻擊應該是每一個相關DeFi協議需要重視的。

Tags：DEFIDEFEFIUSDWorld of DefishMarhabaDeFideFIREbusd幣什么時候退市

歐易交易所app下載