Tehdit aktörleri kullanıcıların kripto paralar üzerinden faiz kazanma, kredi kullanma, borç verme, sigorta satın alma gibi finansal hizmetler almasını sağlayan merkezi olmayan bir finans (DeFi) platformu olan Cream Finance’ten 29 milyon dolardan fazla kripto para çaldı.
30 Ağustos günü blockchain güvenlik firması PeckShield, devam eden bir saldırının belirtilerini Twitter’da paylaşmasından kısa bir süre sonra, Cream Finance tarafından güvenlik ihlali doğrulandı.
Cream Finance göre tehdit aktörleri, 418.311.571 AMP tokenlerını (hackleme sırasında yaklaşık 25.1 milyon dolar olduğu tahmin ediliyor) ve 1.308.09 ETH tokenlerını (yaklaşık 4.15 milyon dolar olarak tahmin ediliyor) çalmak için “flash kredi” özelliği üzerinde bir “yeniden giriş saldırısı” tasarlayıp, kullanmışlar.
Yeniden giriş saldırıları, orijinal işlem onaylanmadan veya reddedilmeden önce tekrar tekrar para çekilmesinden oluşur. PeckShield’e göre saldırganlar, Cream Finance tarafından Etherium blok zinciri ile etkileşim kurmak için uygulanan ERC777 token sözleşme arayüzündeki bir hatadan yararlandı.
Şirket, yapılan saldırı sonrasında, saldırganın izini sürmek için kolluk kuvvetleriyle birlikte çalıştığını belirtiyor. Şirket ayrıca bir yama dağıtılana kadar AMP tedarikini ve ödünç alma işlevlerini duraklattığını açıkladı. Cream Finance, yaşanan saldırı sonrası bildiri yayınlayarak kullanıcıların çalınan Ether (ETH) ve Amp (AMP) tokenlarını geri ödeyeceğini açıkladı.
