1/ 简单说下为什么Cream被盗1亿美金。这次黑客主要从CREAM，Curve和YFI之间找到的机会。当然，要论甩锅，Cream责任要占90%以上。
2/ 本质上是黑客通过闪电贷借了5亿美金DAI出来，然后存到YFI变成了yDAI，又把yDAI存到了Curve变成了yUSD（这是Curve Y池的LP Token，但它价格约等于1美金）。yUSD又反过来存到了YFI变成了yUSD Vault。
3/ 然后为什么说责任在Cream呢？它接受yUSD Vault作为抵押物（嘖嘖面對AC是真的有夠倒貼），但是yUSD Vault这种东西祖传套娃了，价格很难确定。于是Cream说yUSDVault的价格=yUSD.balanceOf(yUSDVault) / yUSDVault.totalSupply。
4/于是乎黑客又搞了一个号，闪电贷借了大量ETH，开始调戏yUSDT Vault这个LP Token的价格。最骚的来了：它通过赎回yUSD Vault获得不少yUSD，然后它强行手动把这些yUSD打到了yUSD Vault合约地址里（经常充错币的朋友应该挺熟悉了/笑）。把Cream定价公式直接整高潮了，使得它误认为yUSD Vault价格翻倍。
5/ 所以黑客也高潮了，因为它闪电贷贷了大量的币全部已经变成了yUSD Vault，yUSD Vault这个东西又暴涨了。所以黑客立刻马上把它们存到CREAM里，紧接着把能借走的都借走了，一把撸光CREAM各种能借的池子。
6/ 在BTC、ETH最吃劲的关口，被黑客搞走了1亿+美金的各种币，你说让大盘怎么涨？
7/ 虽然DeFi和CeFi有别，但我觉得这事和恒大暴雷没有本质区别。恒大是被唯许皮带马首是瞻，所以被许皮带掏空。而Cream则是唯AC马首是瞻，居然连AC发行的LP的LP的LP Token都允许被列入，所以被黑客掏空。恒大是普华没有好好审计资产，Cream则是没有好好审计预言机公式。这是一码事。
8/ 做DeFi一定要严谨！去中心化绝对≠没有门槛。我只敢把钱放在compound、aave和makerdao（虽然里面也已经有些特洛伊木马了，具体哪几个币下次我再详说）。最后送给各位农民朋友和创业者朋友一句话，better safe than sorry
• • •
Missing some Tweet in this thread? You can try to
force a refresh
