前言
8月30日，知道创宇区块链安全实验室监测到以太坊上的DeFi协议CreamFinance遭遇重入漏洞袭击，损失超1800万美元。实验室第一时间跟踪本次事件并分析。
涉及对象
攻击涉及合约地址：
0x38c40427efbaae566407e4cde2a91947df0bd22b
0x0ec306d7634314d35139d1df4a630d829475a125
Twitter宣布已将其媒体网站更名为“Twitter Create”:金色财经报道，Twitter宣布已将其 Twitter 媒体网站更名为“Twitter Create” ，这家社交媒体巨头表示，该网站是创作者访问资源、产品信息和充分利用 Twitter 的提示的新中心。该公司表示，通过这个新的品牌重塑，它希望让创作者更容易了解他们如何使用 Twitter 的创作者产品并与其他创作者联系。[2022/5/25 3:39:20]
受害涉及合约地址：
CErc20Delegator：0x2db6c82ce72c8d7d770ba1b5f5ed0b6e075066d6
Cream Finance已批准将BAC作为抵押资产:1月26日，算法稳定币项目Basis Cash官方发文公布项目进展称，抵押借贷平台Cream Finance已批准将BAC作为抵押资产，目前正在等待实施。[2021/1/26 13:33:42]
CEther：0xd06527d5e56a3495252a528c4987003b712860ee
Amp：0xff20817765cb7f73d4bde2e66e067e58d11095c2
简述攻击流程
首先黑客通过合约0x38c4进行闪电贷借出启动资金500ETH
动态 | Morgan Creek创始人提出“激进保护组合” 提议将5%可用现金投资于比特币:7月23日消息，Morgan Creek创始人Anthony Pompliano正在推出一项投资论文，他称之为“激进保护组合（radical protection portfolio）”，主要谈论将5％的可用现金投资于比特币。 虽然过去的表现并不能表明未来的结果，但Pompliano展示了此投资策略过去所带来的影响。 他表示：“激进保护组合的一个版本以前做得很好。99％的现金/ 1％比特币的投资组合将带来约10％的年化回报。98％的现金/ 2％比特币的投资组合将带来约20％的年化回报。这两项资金分配都实现了高额回报，同时比仅投资国债的风险更小。 我将此投资组合称为‘激进保护组合’，因为它完成了两件事：（1）下限风险仅为5％；（2）潜在上行回报率在20％+范围内。没有太多其他投资组合可以与这些潜在的结果相媲美。“ Pompliano指出，股市回报已经减少，并表示尽管加密投资者应该做好失去一切的准备，但他认为用5%的资金去投资比特币是值得的。[2019/7/23]
动态 | 加密货币借贷方Cred计划进军矿工金融服务市场:加密货币挖矿设备商Coinmine CEO Farbood Nivi与区块链金融服务平台Cred投资人及顾问Michael Arrington在推特对与Cred开展业务合作进行积极讨论，预计Cred将于近期推出针对矿工的加密货币金融服务产品。(链闻)[2019/6/13]
抵押ETH获得凭证
通过合约0x38c4调用CErc20Delegator合约借出19,480,000AMP
通过重入漏洞继续调用CEther合约借出355ETH
使用合约0x0ec3对合约0x38c4进行超额借贷清算
合约0x38c4转移凭证给合约0x0ec3赎回约187ETH
归还闪电贷
漏洞成因分析
获利条件
borrowFresh函数在发生借贷时是先通过doTransferOut函数转账，再记录最新变化
攻击条件
doTransferOut函数包含的transfer函数会使用_callPostTransferHooks函数会回调调用合约的tokensReceived函数
总结
本次闪电贷安全事件主要是项目方在设计代币时没考虑到协议之间的兼容性引发的重入危机，其实在前段时间已经爆出拥有类似回调功能的ERC777代币存在重入漏洞，如果项目方及时发现跟进，应该能减少甚至避免损失。
知道创宇区块链安全实验室再次提醒近期各链上频频爆发攻击事件，合约安全愈发需要得到迫切重视，合约审计、风控措施、应急计划等都有必要切实落实。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。