크림 파이낸스가 해커에게 약 1.17억 달러를 도난당했으며, 이는 올해 다섯 번째 공격이다

저자: 谷昱
해커들이 가장 "선호하는" DeFi 프로젝트가 있다면, 아마도 DeFi 대출 프로젝트인 Cream Finance일 것입니다.
오늘 베이징 시간으로 21:56경, Cream Finance는 다시 한 번 플래시 론 공격을 받았으며, 해커는 스마트 계약에서 약 1.17억 달러의 자산을 탈취했습니다. 이는 올해 해당 프로젝트가 다섯 번째로 당한 해킹 사건입니다.
Etherscan에 따르면, 해당 해커는 21:17경 Tornado.Cash에서 약 20개의 ETH를 해당 주소로 전송한 후, 21:56에 공격을 실행하였으며, Cream Finance의 예치 계약에서 ETH, xSUSHI, PERP, wNXM, renBTC 등 50여 개 자산을 차례로 확보했습니다. 이후 OGN, FRAX, OCEAN 등의 자산을 ETH로 판매하였습니다.

현재 Cream Finance 웹사이트는 이더리움 네트워크에서 대출 가능한 자산의 수가 거의 완전히 고갈되었으며, 약 36만 CREAM과 수백 달러 가치의 기타 자산만 남아 있습니다. 동시에, 해당 프로젝트의 토큰 가격은 30% 이상 급락하여 최저 102.5달러까지 떨어졌습니다.
현재 Cream Finance 공식 트위터는 이 사건에 대해 응답하였으며, 이더리움에서 CREAM v1의 취약점 공격 사건을 조사 중이라고 밝혔습니다. 진행 상황은 수시로 업데이트될 예정입니다.
알려진 바에 따르면, Cream Finance는 대만 커뮤니티가 주도한 탈중앙화 대출 프로토콜로, 중장기 자산을 주력으로 하며, 올해 초 YFI 생태계에 합류하였고 현재 이더리움, BSC, Polygon 등 여러 블록체인 네트워크로 확장되었습니다. DefiLlama 데이터에 따르면, Cream Finance의 현재 총 잠금 자산량은 15.3억 달러로, 탈중앙화 대출 프로토콜 중 6위에 랭크되어 있습니다.
이전에도 Cream Finance는 최소 네 번의 해킹 공격을 당한 바 있으며, 이번 공격으로 인해 해당 프로젝트는 해커가 성공적으로 공격한 횟수가 가장 많은 DeFi 프로젝트가 되었습니다.
올해 2월 13일, 해커는 Alpha Homora V2의 기술적 취약점을 이용해 Cream Finance의 무담보 크로스 프로토콜 대출 기능인 Iron Bank에서 ETH, DAI, USDC 등의 자산을 빌려 약 3800만 달러의 손실을 초래했습니다. 이후 Alpha Finance는 자산을 전액 보상하겠다고 밝혔습니다.
같은 달 28일, DeFi 집계 플랫폼 Furucombo가 심각한 취약점 공격을 받아 Cream Finance의 준비금 계좌가 영향을 받았으며, Cream Finance 팀은 즉시 모든 외부 계약에 대한 승인을 철회했지만 여전히 110만 달러의 손실을 입었습니다.
3월 15일, Cream Finance의 도메인이 해킹당하여 일부 사용자는 웹사이트에서 니모닉 입력 요청을 보게 되었고, 곧 해당 프로젝트의 공식 트위터는 사용자에게 니모닉을 입력하지 말라고 경고하며, 스마트 계약과 사용자 자금은 여전히 안전하다고 밝혔습니다. 1시간 후에는 도메인 소유권을 다시 확보했다고 발표했습니다.
8월 30일, Cream Finance는 재진입 취약점으로 인해 플래시 론 공격을 당해 해커가 4.2억 개의 AMP, 1308개의 ETH 및 소량의 USDC 등 스테이블 코인 자산을 획득하였으며, 총 자산 가치는 3400만 달러를 초과했습니다.
현재 Cream Finance는 많은 암호화폐 업계 인사들의 비판과 조롱을 받고 있으며, "사람들이 여전히 CREAM을 사용하고 있다는 사실이 우리가 이 분야에서 돈을 벌고 있는 이유입니다."라고 The Block 연구원 @Dogetoshi가 트윗했습니다.