Аналіз події атаки на Cellframe Network за допомогою флеш-атаки

1 червня 2023 року о 10:07:55 (UTC+8) мережа Cellframe зазнала хакерської атаки на смарт-ланцюгу через проблеми з підрахунком кількості токенів під час процесу міграції ліквідності. Ця атака призвела до прибутку хакерів приблизно в 76 112 доларів.

Аналіз процесу атаки

Зловмисник здійснив атаку за наступними кроками:

1. Використовуйте Термінові позики для отримання 1000 BNB та 500000 New Cell токенів.
2. Обміняти всі токени New Cell на BNB, що призведе до того, що кількість BNB у пулі наблизиться до нуля.
3. Обміняти 900 BNB на токени Old Cell.
4. Перед атакою зловмисник додав ліквідність Old Cell і BNB, отримавши Old lp.
5. Виклик функції міграції ліквідності. На цей момент у новому пулі майже немає BNB, а в старому пулі майже немає токенів Old Cell.

Процес міграції включає:

• Видалити стару ліквідність, повернути відповідні токени користувачам.
• Додати нову ліквідність відповідно до нової пропорції пулу.

Оскільки токенів Old Cell в старому пулі мало, при видаленні ліквідності кількість отриманого BNB збільшується, а Old Cell зменшується. Це призводить до того, що користувачеві потрібно всього лише трохи BNB та New Cell для отримання ліквідності, а надлишок BNB та Old Cell буде повернуто користувачеві.

6. Атакуючий видаляє ліквідність нового пулу та обмінює повернуту Old Cell на BNB.
7. Повторіть операцію міграції, щоб отримати прибуток.

Причини вразливості та рекомендації щодо запобігання

Основною причиною успіху атаки є проблеми з обчисленнями під час процесу міграції ліквідності. Щоб запобігти подібним атакам, рекомендується:

1. Під час міграції ліквідності слід повністю враховувати зміни кількості токенів у старому та новому пулі, а також поточну ціну.
2. Уникайте покладатися лише на кількість двох токенів у торговій парі для розрахунків, оскільки це легко може бути маніпульовано.
3. Перед запуском коду провести всебічний аудит безпеки, щоб виявити та виправити потенційні вразливості.

Ця подія ще раз підкреслила важливість безпеки коду та комплексної оцінки ризиків у сфері децентралізованих фінансів. Команди проектів повинні завжди залишатися пильними, постійно вдосконалюючи заходи безпеки, щоб захистити активи користувачів та підтримувати стабільність екосистеми.