- Cream Finance è un protocollo decentralizzato di lending e borrowing, in cui è possibile utilizzare i propri fondi per ottenere interessi su base giornaliera, settimanale e annuale
- Il protocollo è stato hackerato per ben 130 milioni di dollari, rappresentando al momento il terzo attacco hacker più grande nel mondo DeFi dopo Compound e Poly Network
- L’episodio sembra essere legato ad un flash loan, che ha spostato i fondi in due portafogli diversi per poi sparpagliarli su più wallet
Cream Finance è un protocollo di lending decentralizzato che offre servizi finanziari ad aziende e individui che vogliono prestare o prendere in prestito fondi per avere un ritorno economico sul proprio investimento.
Il funzionamento è simile alla maggior parte dei protocolli di questo tipo: si eseguono operazioni di lending, borrowing o staking e si riceve un interesse sul capitale. Peccato, però, che la piattaforma sia stata nuovamente hackerata, stavolta per un totale di 130 milioni di dollari in token.
L’exlpoit
Il furto è stato annunciato con la pubblicazione di un tweet in cui il team ha annunciato che i loro mercati di lending (prestito) Ethereum v1 sono stati hackerati. In particolare, è stata rimossa una liquidità in token dal controvalore, al momento del furto, di ben 130 milioni di dollari.
Fortunatamente, il team è stato molto veloce a sospendere l’intera piattaforma, in modo che altri investitori non subissero eventuali attacchi. In aggiunta, il team di @iearnfinance e membri della community hanno aiutato il team di Cream ad identificare i wallet e capire cosa fosse successo.
È stata quindi applicata una patch di sicurezza per aumentare le difese sull’ecosistema e sono stati revisionate tutte le operazioni. PeckShield, che si è occupato dell’identificazione del problema, ha trovato un flash loan (prestito flash) che è stata sfruttata per togliere la liquidità dal protocollo.
A seguito dell’identificazione, è stato confermato che, dei 130 milioni, 92 sono finiti in un indirizzo, mentre i restanti sono stati mandati ad un altro wallet, in modo da creare maggiore confusione.
Si tratta, per l’esattezza, di token LP Cream, che solitamente vengono guadagnati quando si deposita liquidità per ottenere interessi. A seguito dell’attacco, il valore dei token è sceso del -27%.
È stato anche mostrato il messaggio dell’hacker, che sulla transazione ha scritto: “gÃTµ Baave lucky, iron bank lucky, cream not. ydev: incest bad, dont do.”
La parola gÃTµ sembrerebbe ricordare l’inglese “got you” (fregato), mentre la restante parte del messaggio pare riferirsi alla fortuna di Aave e Iron Bank (che non sono stati hackerati) e alla sfortuna di Cream Finance, che ha subito l’ennesimo attacco hacker.
Difatti, non è la prima volta che il protocollo viene hackerato, dato che ha perso oltre 37 milioni a febbraio e quasi 20 milioni di dollari ad agosto. TheBlock ha anche citato un’analisi di Rekt News, in cui vengono mostrati tutti gli attacchi di quest’anno in una classifica.
Quello di Cream è il terzo in termini di quantità di fondi rubati, a seguito di Poly Network (611 milioni) e Compound (147 milioni).
Conclusioni
Come al solito, investire all’interno della finanza decentralizzata può comportare un determinato livello di rischio, a prescindere da quanto possa essere sicuro un protocollo o ecosistema.
Stando ai dati di DeFi Pulse, la Total Value Locked (TVL) nella DeFi ammonta a ben $103B, ovvero 103 triliardi di dollari al momento della stesura di questo articolo.
Basta immaginare quanto certe somme di denaro possano essere appetibili per gli hacker presenti in tutto il mondo.
Ecco perché, come si suol dire, bisogna sempre investire ciò che si è disposti a perdere.
Approfondimenti
- https://theledger.it/news/altair-aggiornamento-beacon-chain-ethereum/
- https://theledger.it/approfondimenti/lancio-di-un-nft-guida-completa/
- https://theledger.it/news/universita-blockchain-svizzera-top-25/
