详细解释了“奶油铁金库”被黑客盗取3750万美元的案件，这也是闪贷的黑锅

2月13日下午4时许，DeFi贷款平台creamfinance在推特上表示，

“我们意识到一个潜在的漏洞，正在调查。感谢您对我们调查的支持。”

据ICO *ytics称，在这次攻击中，攻击者利用cream finance的铁库转移了13000多个ETH。0x905315602ed的起始地址已在ETHerscan上标记为“cream finance Iron Bank Explorer”，该地址的部分资产已发送至以太坊隐私交易平台龙卷风。现金此外，1000 ETH已发送给alpha homora deployer，1000 ETH发送给cream finance，100 ETH发送给tornado grant ETH，目前持有超过1353万美元的ERC 20代币。

然而，这次攻击并不是由cream金融合同的问题引起的，而是由攻击者位于ironbank的alpha端的alpha homara V2中的漏洞引起的。

Cream最初在推特上表示，Cream V1基金是安全的，将暂停银行资产借贷。但这位官员后来删除了这条微博，并补充说，调查发现，奶油的合同和市场运作正常。V1和V2市场都已重新启动。然后将披露该漏洞的详细信息。

block的研究分析师Igor igamberdiev分析了twitter遭到攻击的过程

“Cream的ironbank被黑客偷走了3750万美元。让我们看看发生了什么。

1攻击者使用alpha homora从ironbank借用SUSD。在这次袭击中，他们每次借的钱是前一次的两倍。

2他们通过两次交易完成这一操作，每次将资金借贷并返还给ironbank，同时接收cysusd。

3在攻击过程中，攻击者从AAVE V2获得了180万美元的USDC闪存贷款，并使用curve将USDC转换为SUSD。

4他们把这些SUSD借给ironbank，这样他们就可以继续向ironbank借贷。

当然，SUSD是用来偿还闪贷的。

6此外，我们还获得了1000万美元的闪贷，这也用于增加苏铁的数量。

7**，他们有了数量惊人的苏铁，这使得他们可以从铁库借钱。

8然后他们借：

-13200湿

-360万美元

-560万美元

-420万戴

9这些稳定币然后存放在AAVE v21000ETH中并发送给ironbank合同部署者，1000ETH发送给homora合同部署者，220ETH发送给tornado现金，100ETH发送给gitcoin并资助tornado，在攻击者的地址余额中留下约11000 ETH。

阿尔法金融实验室后来在推特上说，我们收到了关于阿尔法霍莫拉V2被攻击的通知，目前正在与安德烈·克朗杰和奶油。金融一起。漏洞已修复，赃款正在调查中，主要嫌疑人已锁定。用户无法从alpha homora V2借入更多资金，这意味着他们没有新的杠杆头寸，只能从现有头寸借入。V1安全运行，我们处于高度戒备状态，区块链安全研究员samczsun等人正在调查问题，更多信息将在稍后披露。

又一笔紧急贷款？

在这次袭击中，我们又看到了闪电贷款。有网友说，什么时候才能关掉闪电贷？以及@AAVE创始人斯坦尼·库莱霍夫。

库莱霍夫回应说，这些攻击可以在闪贷的情况下进行，闪贷实际上有助于协议更加灵活，闪贷大部分用于再融资和去杠杆工具，如@DeFisaver。

2月5日，ydai年度机*库finance V1遭到黑客攻击，损失1100万美元。黑客在攻击中还使用了flash loan。

而在之前发生的各种DeFi黑客事件中，flash loan的身影从未消失。闪电贷款提供了很多便利，但这种便利也属于黑客。如何防范flash-loan攻击应该是每个相关DeFi协议的重点。