Análise do incidente de ataque de empréstimo flash na Cellframe Network

No dia 1 de junho de 2023, às 10h07min55s (UTC+8), a Cellframe Network foi atacada por hackers na blockchain devido a um problema no cálculo da quantidade de tokens durante o processo de migração de liquidez. Este ataque resultou em um lucro de cerca de 76.112 dólares para os hackers.

Análise do Processo de Ataque

O atacante executou o ataque através dos seguintes passos:

1. Utilizar Empréstimos Flash para obter 1000 BNB e 500000 tokens New Cell.
2. Trocar todos os tokens New Cell por BNB, fazendo com que a quantidade de BNB na piscina fique próxima de zero.
3. Trocar 900 BNB por tokens Old Cell.
4. Antes do ataque, o atacante adicionou liquidez de Old Cell e BNB, obtendo Old lp.
5. Chamar a função de migração de liquidez. Neste momento, há quase nenhum BNB na nova piscina e quase nenhum token Old Cell na piscina antiga.

O processo de migração inclui:

• Remover a liquidez antiga e devolver os tokens correspondentes aos usuários.
• Adicionar nova liquidez de acordo com a nova proporção do pool.

Devido à escassez de tokens Old Cell no velho poço, a quantidade de BNB obtida ao remover liquidez aumenta, enquanto a quantidade de Old Cell diminui. Isso leva os usuários a precisarem de apenas uma pequena quantidade de BNB e New Cell para obter liquidez, e o excesso de BNB e Old Cell será devolvido aos usuários.

6. O atacante remove a liquidez do novo pool e troca o Old Cell devolvido por BNB.
7. Operação de migração repetida para realizar lucro.

Causas das vulnerabilidades e recomendações de prevenção

A razão fundamental pelo sucesso do ataque é um problema de cálculo no processo de migração de liquidez. Para prevenir ataques semelhantes, recomenda-se:

1. Ao migrar a liquidez, deve-se considerar de forma abrangente a variação nas quantidades de ambos os tokens nos novos e antigos pools, bem como o preço atual.
2. Evite depender apenas da quantidade das duas moedas no par de negociação para cálculo, pois isso pode ser manipulado.
3. Realizar uma auditoria de segurança abrangente antes do lançamento do código para identificar e corrigir vulnerabilidades potenciais.

Este evento ressalta novamente a importância da segurança do código e da avaliação abrangente de riscos no campo das finanças descentralizadas. As equipes de projeto devem permanecer sempre vigilantes e continuamente aprimorar as medidas de segurança para proteger os ativos dos usuários e manter a estabilidade do ecossistema.