Cream 漏洞分析：攻擊者通過數額巨大的 cySUSD 從 IronBank 借入 WETH、USDC 、USDT、DAI 等資產_USD:ETH

鏈聞消息，TheBlock研究分析師@FrankResearcher在推特分析了CreamFinance推出的零抵押跨協議貸款IronBank被盜約3750美元資產的過程，具體為「1.攻擊者使用AlphaHomora從IronBank借入sUSD，每次借入資金都是上次借款的兩倍。2.攻擊者通過兩筆交易來完成任務，每次將資金借給IronBank獲得cySUSD。3.在某些時候，攻擊者從Aavev2獲得了180萬美元的USDC閃電貸款，并使用Curve將USDC換成了sUSD。4.攻擊者把sUSD借給IronBank，使得他們可以繼續獲得cySUSD。5.一些sUSD用于償還閃電貸款。6.此外，1000萬美元的閃電貸款也被用來增加cySUSD的數量。7.最終，攻擊者獲得了數額巨大的cySUSD，這讓他們可以從IronBank借到任何資產。8.隨后攻擊者借到了13.2萬枚WETH、360萬枚USDC、560萬枚USDT、420萬枚DAI。9.穩定幣已轉入Aavev2，隨后向IronBank部署者轉入1000ETH、向Homora部署者轉入1000ETH,向Tornado轉入220ETH、向Tornadogrant轉入100ETH，還有大約1.1萬枚ETH在攻擊者錢包地址中。」

Cream Finance遭到閃電貸攻擊原因系AMP代幣合約存在可重入漏洞:8月30日，PeckShield派盾發推表示，CreamFinance遭閃電貸攻擊是因為AMP代幣合約引入了一個可重入漏洞。AMP是一種類似erc777的代幣，在更新第一次借款之前，它被用來在轉移資產的過程中重新借入資產。在tx示例中，黑客進行了500ETH的閃電貸，并將資金存入作為抵押品。然后黑客借了1900萬美元AMP并利用可重入漏洞在AMPtokentransfer()中重新借入了355ETH。然后黑客自行清算借款。黑客在17個不同的交易中重復上述過程，總共獲得5.98KETH（約1880萬美元）。資金仍存放在以0xCE1F的地址中。派盾正在積極監控此地址的任何移動。據此前報道，抵押借貸平臺CreamFinance遭遇閃電貸攻擊，損失1800萬美元。[2021/8/30 22:47:08]

Cream Finance部署以太坊上的新利率模型 提高借貸成本增長率:官方博客消息，Cream Finance部署了更新的以太坊上的利率模型， 當利用率更高時，新的利率模型將再次提高借貸成本的增長率（斜率）。供應CREAM將獲得更高的利息，CREAM借款人將支付更高的利息，尤其在利用率超過80%時。[2020/10/30]

YouTube關閉擁有12.3萬粉絲Sunny Decree的加密直播:YouTube最近關閉了加密大V用戶Sunny Decree的直播，他的頻道擁有835個視頻和12.3萬訂閱訂戶。YouTube以違反“用戶政策”為由停止了他的直播，并稱如果他再次違規，將發出警告。（Coinjournal）[2020/9/7]

Tags：USDCREETHSUSDAave USDCsecretnetwork幣總量ETHOSPegsUSD

幣安交易所app下載