Хакеры провели за прошедшие два дня две успешных атаки на DeFi-платформы Cream Finance и xToken. В обоих случаях злоумышленники использовали необеспеченные кредиты (flash loan), чтобы масштабировать ущерб эксплуатации найденных уязвимостей в кодах смарт-контрактов.
В DeFi-система Cream Finance целью атаки были выбраны токены Flexa Network (AMP), которые можно было получить «бесплатно» с помощью бага «повторных входов», чем-то похожих на двойные траты.
Взятый флэш-кредит в ETH был прокручен 17 раз, при этом хакер новый цикл гасил и брал новые займы, позволившие ему получить 418 млн дополнительных токенов AMP и 1308 ETH. Разработчикам Flexa Network пришлось остановить работу смарт-контракта, чтобы прервать злонамеренный вывод. Общий ущерб от атаки составил $18 млн.
Платформа xToken попалась на уязвимости общедоступности функции callFunction с помощью которой нападающие получили доступ к манипулированию курсом xSNX. Флэш-кредит использовался для выкупа служебных токенов SNX и обвала курса xSNX с целью покупки стаблкоинов sUSD по заниженной стоимости и обмена на USDC по курсу 1 к 1.
Во втором случае ущерб от атаки составил $4,5 млн, но учитывая прошлогоднюю потерю xToken $25 млн, проект оказался на грани закрытия. Разработчики предложили пострадавшим инвесторам программу компенсации в нативном токене XTK, курс которого значительно пострадал после сообщения об атаке хакеров.
