Análisis del incidente de ataque de flash loan a Cellframe Network

El 1 de junio de 2023 a las 10:07:55 (UTC+8), Cellframe Network fue atacado por hackers en la cadena BSC debido a un problema en el cálculo de la cantidad de tokens durante el proceso de migración de liquidez. Este ataque permitió a los hackers obtener aproximadamente 76,112 dólares.

Análisis de ataques

Los hackers utilizaron préstamos rápidos y la manipulación de pools de liquidez para llevar a cabo este ataque. Los pasos principales del ataque son los siguientes:

1. Obtener 1000 BNB y 500,000 tokens New Cell a través de Flash Loans.
2. Intercambiar todos los tokens New Cell por BNB, lo que lleva a que la cantidad de BNB en el fondo se acerque a cero.
3. Intercambiar 900 BNB por tokens Old Cell.
4. Antes del ataque, el hacker primero agregó liquidez de Old Cell y BNB, obteniendo Old lp.
5. Llamar a la función de migración de liquidez, en este momento el nuevo fondo casi no tiene BNB, el fondo antiguo casi no tiene tokens Old Cell.
6. Durante el proceso de migración, debido a la manipulación de la proporción del pool, el atacante puede obtener una gran cantidad de liquidez con muy poco BNB y el token New Cell.
7. Retirar la liquidez del nuevo fondo y cambiar los tokens Old Cell obtenidos por BNB.
8. Repite la operación de migración para obtener más ganancias.

Causas fundamentales del ataque

Se ha producido un problema en el cálculo de la cantidad de tokens durante el proceso de migración de liquidez. Al migrar, calcular la cantidad de los dos tipos de monedas del par de operaciones directamente puede ser manipulable.

Sugerencias de seguridad

1. Al migrar liquidez, se deben considerar de manera integral los cambios en la cantidad de los dos tokens en los nuevos y antiguos fondos, así como el precio actual de los tokens.
2. Evita usar directamente la cantidad de tokens en el par de comercio para realizar cálculos, ya que esto puede ser manipulado.
3. Realizar una auditoría de seguridad completa antes de que el código se implemente, especialmente en las funciones clave que implican el flujo de fondos.
4. Implementar un mecanismo de múltiples verificaciones para garantizar la seguridad del proceso de migración de liquidez.
5. Considere establecer límites de transacción o medidas de bloqueo de tiempo para reducir el riesgo potencial de ataques.

Este evento destaca nuevamente la importancia de la seguridad en el diseño e implementación de proyectos DeFi, especialmente al manejar flujos de fondos complejos. Los equipos del proyecto deben optimizar continuamente las medidas de seguridad para hacer frente a las tácticas de ataque en evolución.