Phân tích sự kiện Cellframe Network bị cuộc tấn công cho vay chớp nhoáng

Vào lúc 10 giờ 7 phút 55 giây ngày 1 tháng 6 năm 2023 (UTC+8), Cellframe Network đã bị tấn công bởi hacker trên chuỗi thông minh do vấn đề tính toán số lượng token trong quá trình di chuyển tính thanh khoản. Cuộc tấn công này đã khiến hacker thu lợi khoảng 76,112 đô la.

Phân tích quá trình tấn công

Kẻ tấn công đã thực hiện cuộc tấn công qua các bước sau:

1. Sử dụng Khoản vay nhanh để có 1000 BNB và 500000 token New Cell.
2. Chuyển đổi tất cả các token New Cell sang BNB, khiến số lượng BNB trong pool gần bằng không.
3. Sử dụng 900 BNB để đổi lấy token Old Cell.
4. Trước khi tấn công, kẻ tấn công đã thêm tính thanh khoản của Old Cell và BNB, nhận được Old lp.
5. Gọi hàm di chuyển tính thanh khoản. Lúc này, hồ bơi mới gần như không có BNB, hồ bơi cũ gần như không có token Old Cell.

Quá trình di chuyển bao gồm:

• Gỡ bỏ tính thanh khoản cũ, hoàn trả các token tương ứng cho người dùng.
• Thêm thanh khoản mới theo tỷ lệ hồ mới.

Do việc token Old Cell trong Old Cell khan hiếm, khi loại bỏ thanh khoản, BNB nhận được tăng lên trong khi Old Cell giảm đi. Điều này dẫn đến việc người dùng chỉ cần một lượng nhỏ BNB và New Cell để có được thanh khoản, phần BNB và Old Cell thừa sẽ được trả lại cho người dùng.

6. Kẻ tấn công loại bỏ thanh khoản của bể mới, sẽ đổi Old Cell được hoàn trả thành BNB.
7. Thực hiện các thao tác di chuyển lặp lại để đạt được lợi nhuận.

Nguyên nhân lỗ hổng và đề xuất phòng ngừa

Nguyên nhân căn bản của việc tấn công thành công là vấn đề tính toán trong quá trình di chuyển thanh khoản. Để ngăn chặn các cuộc tấn công tương tự, khuyến nghị:

1. Khi di chuyển thanh khoản, cần xem xét đầy đủ sự thay đổi số lượng token của hai bể cũ và mới cũng như giá hiện tại.
2. Tránh chỉ dựa vào số lượng hai loại token trong cặp giao dịch để tính toán, vì điều này dễ bị thao túng.
3. Tiến hành kiểm tra an ninh toàn diện trước khi triển khai mã để phát hiện và sửa chữa các lỗ hổng tiềm ẩn.

Sự kiện này một lần nữa nhấn mạnh tầm quan trọng của việc đảm bảo an toàn mã và đánh giá rủi ro toàn diện trong lĩnh vực tài chính phi tập trung. Các dự án nên luôn giữ cảnh giác và liên tục hoàn thiện các biện pháp an ninh để bảo vệ tài sản của người dùng và duy trì sự ổn định của hệ sinh thái.