Эксплойт Cream.Finance и Alpha Finance. У кого все-таки украли $37,5 млн?

В субботу произошла очередная атака на проекты из пространства децентрализованных финансов (DeFi), в результате которой было украдено $37,5 млн. Данный эксплойт оказался запутаннее предыдущих, поскольку изначально даже не было понятно, из чьих резервов была взята эта сумма. Сначала сообщалось, что жертвой и конечной целью в цепи из нескольких DeFi-проектов стал Cream.Finance. Затем разработчики Cream.Finance подтвердили, что их протокол работает как должен и перезапустили рынки. Разработчики Alpha Finance, в свою очередь, заявили об эксплойте своего протокола Alpha Homora V2 и временно остановили его.

Технически организатор атаки воспользовался уязвимостью в Alpha Homora, чтобы осуществлять действия от имени протокола и благодаря этому занять крупную сумму в сервисе Ironbank протокола Cream.Finance. Cream.Finance позволяет своим партнерским протоколам, включая Alpha Homora, занимать средства без залогового обеспечения. Теперь у хакера имеется крупный долг перед Cream.Finance от имени Alpha Homora, который он, естественно, выплачивать не собирается.

На концептуальном уровне Alpha Homora обязан вернуть средства Cream.Finance. Тем не менее, у кредиторов в Cream.Finance нет реального заемщика, который должен был бы с ними рассчитаться. К счастью, разработчики Alpha Finance уже подтвердили, что долговые обязательства не будут распространяться на пользователей, а урегулирование будет происходить между самими протоколами.

«Если бы связи между двумя протоколами не были так тесны, возникла бы реальная возможность того, что Alpha мог бы отказаться от проблемной задолженности и переложить убытки на держателей токена Cream, так как технически протокол отвечает за безопасность кредиторов», – отмечает основатель ARCx Керман Коли.

Еще одним любопытным следствием этих событий стали действия пользователей. Объем активов под управлением Cream.Finance за день снизился от $700 млн до $200 млн, а его собственный токен упал на 30%. Alpha Finance, в свою очередь, потерял только 10% активов, а падение его токена оказалось умеренным.

Как предполагает Коли, объяснение кроется во внезапном осознании, пришедшем к пользователям Cream.Finance. Теперь у них есть наглядный пример рисков, которым они себя подвергают, предоставляя активы в кредитование под высокий процент. Вероятно, этот инцидент приведет к удорожанию капиталов в подобных сервисах и заставит кредиторов в дальнейшем быть осмотрительнее.