Cream Finance Flash-Loan Drain

Am 27. Oktober 2021 um 13:54 UTC entzog ein Angreifer etwa 130 Millionen US-Dollar aus Cream Finance v1 in einem der komplexesten Einzeltransaktions-Exploits der DeFi-Geschichte — 68 verschiedene Assets berührt, 9+ ETH an Gas und eine Preismanipulation, die 1 Mrd. USD in temporärer Sicherheit in 130 Mio. USD an realen Abhebungen verwandelte.

Was geschah

Cream v1s Lending-Märkte akzeptierten yUSD — einen Yield-tragenden Wrapper von Yearn Finance — als Sicherheit. Der Preis von yUSD in Creams Buchhaltung kam von einem Oracle, das den Saldo des crYUSD las, der von der Lending-Position des Angreifers gehalten wurde, skaliert mit der angenommenen Wechselrate.

Der Angriff verkettete mehrere Aktionen:

1. Leihe ~1 Mrd. USD in Stablecoins via Flash-Loan.
2. Hinterlege die Stablecoins in Yearn, um eine massive Menge yUSD zu prägen.
3. Hinterlege das yUSD in Cream v1, das es als Sicherheit etwa im Wert des hinterlegten Dollar-Werts gutschrieb.
4. Manipuliere die yUSD/crYUSD-Wechselrate-Berechnung, sodass Creams Oracle einen massiv aufgeblähten Preis für die Sicherheit des Angreifers meldete.
5. Borge gegen die aufgeblähte Sicherheit und entleere die verfügbare Liquidität von Cream über Dutzende Assets.
6. Zahle den Flash-Loan zurück und gehe mit der Nettodifferenz.

Die Transaktion berührte 68 verschiedene Märkte und Tokens, weil Cream sie alle unterstützte — und der Angreifer entzog, was über jedem Pool verfügbar war.

Folgen

• Cream Finance pausierte v1-Märkte innerhalb von Stunden, mit Hilfe von Yearn-Ingenieuren, die den Bug identifizierten.
• Der Angreifer wusch über Tornado Cash; keine öffentliche Rückgewinnung.
• Dies war Creams dritter großer Exploit 2021 — frühere Vorfälle im Februar und August hatten kleinere Beträge über separate Schwachstellen entzogen. Der dritte war faktisch das Ende von Cream v1 als bedeutsames Protokoll.

Warum es wichtig ist

Cream v1 ist die kanonische Fallstudie für Oracle-Design-Versagen unter Flash-Loans: Jedes System, das Sicherheit zulässt, deren Preis von einer Funktion ihres eigenen Saldos abhängt — oder von einer Single-Block-Wechselrate-Berechnung — kann in derselben Transaktion manipuliert werden, in der die Manipulation gelesen wird. Moderne Lending-Protokolle nutzen zeitgewichtete Oracles, entkoppelte Preisfeeds und Preiscaps für Sicherheits-Typen, speziell um das Cream-Muster zu verhindern.