La plataforma de criptomonedas Cream Finance informa del tercer gran ciberataque a sus sistemas en lo que va de año. Según el informe, uno o varios hackers lograron captar Ethereum por valor de 130 millones de dólares estadounidenses en el curso de un proceso de préstamo que habían manipulado.
Según el sitio web Vice.com, el golpe es uno de los mayores robos que se han producido en dicha plataforma. Los delincuentes recurrieron a un ataque denominado «flash loan», un complicado tipo de préstamo relámpago basado en criptomonedas. El dinero suele emitirse y devolverse en una sola transacción mediante los llamados contratos inteligentes.
Los analistas creen que los atacantes utilizaron una transacción particularmente compleja para explotar una vulnerabilidad en el sistema de Cream Finance. De este modo, consiguieron cobrar el préstamo sin devolverlo. Se dice que sólo las tarifas de la red para el elaborado ataque ascendieron a unos 36.000 dólares.
Nuestro análisis inicial del ataque a Cream Finance:https://t.co/TysI7fjyPU@Mudit__Gupta @bantg @CreamdotFinance pic. twitter.com/wScUvizBtX
– BlockSec (@BlockSecTeam) October 27, 2021
Mensaje críptico plantea un misterio
Los delincuentes dejaron un mensaje críptico en el asunto de la transacción, que hasta ahora no permite sacar conclusiones sobre el motivo o los autores. Allí, los atacantes escribieron: «gÃTµ Baave lucky, iron bank lucky, cream not. ydev : incest bad, dont do». Aave, según el informe, es una plataforma competidora de Cream, mientras que la plataforma Iron Bank pertenece a la propia Cream.
El operador de la plataforma anunció a través de Twitter tras el ataque que la vulnerabilidad explotada había sido cerrada y que quería pedir disculpas a sus usuarios por el incidente.
Con la ayuda de los amigos de @iearnfinance y otras personas de la comunidad, hemos podido identificar las vulnerabilidades y parchearlas.
Mientras tanto, hemos puesto en pausa nuestros mercados de préstamos v1 en Ethereum y estamos en proceso de elaborar una revisión post-mortem.
– Cream Finance 🍦 (@CreamdotFinance) 27 de octubre de 2021
Antes, en febrero de 2021, los hackers habían privado a Cream de 37,5 millones de dólares en un ataque similar. En agosto de 2021, se produjo otro ataque de préstamo relámpago, en el que los delincuentes robaron otros 18,8 millones de dólares estadounidenses.
