• 發布單位:TWCERT/CC
• 更新日期:2021-09-02
• 點閱次數:3247

去中心化加密貨幣交易所 Cream Finance 遭不明駭侵者入侵，竊走價值超過 2,900 萬美元的資產。

去中心化加密貨幣交易所 Cream Finance，於 8 月 30 日在 Twitter 貼文公布，該交易所遭不明駭侵者入侵，一共竊走價值超過 2,900 萬美元的資產。

根據 Cream Finance 的貼文指出，被竊走的加密貨幣資產，分別是 418,311,571 枚 AMP 代幣（總值相當於 2,510 萬美元），以及 1308.09 枚以太幣（總值相當於 415 萬美元）。

該交易所也表示，駭侵者是針對該交易所的「閃電借貸」（Flash Loan）功能，發動「重新進入攻擊」（Reentrancy Attack）。所謂閃電借貸是一種在以太坊區塊鏈上執行的智慧合約，Cream Finance 的用戶可以透過此合約，快速獲得貸款以進行後續套利投資，之後再行還款的服務。

據區塊鏈資安專家指出，這次攻擊行動中，駭侵者使用的「重新進入攻擊」，是利用該智慧合約的軟體錯誤，在交易獲得確認或否決之前，以迴圈的方式不斷重覆提領資金。

區塊鏈資安專家也確認 Cream Finance 這次攻擊事件中，駭侵者是利用以太坊存於其 ERC-777 智慧合約標準規範中的一個已知漏洞；過去也有多家去中心化交易所遭駭侵者利用此漏洞發動重新進入攻擊，因而造成加密貨幣資產遭竊。

區塊鏈資安專家說，今年（2021）已發生的各種加密貨幣駭侵攻擊中，針對去中心化金融服務（DeFi, Decentralized Finance）平台的攻擊活動，佔比高達 76%，用戶財損將近 5 億美元；各種去中心化金融服務平台，必須開發出類似防火牆之類的資安防護措施，以對應這類漏洞可能導致的駭侵攻擊行動。