Analyse de l'incident de l'attaque de prêts flash sur Cellframe Network

Le 1er juin 2023 à 10h07min55s (UTC+8), Cellframe Network a été victime d'une attaque de hacker sur la chaîne BSC en raison d'un problème de calcul du nombre de jetons lors du processus de migration de liquidité. Cette attaque a permis au hacker de réaliser un bénéfice d'environ 76 112 dollars.

Analyse d'attaque

Les hackers ont utilisé des Prêts Flash et des pools de liquidité pour mener cette attaque. Les principales étapes de l'attaque sont les suivantes :

1. Obtenez 1000 BNB et 500000 jetons New Cell via des Prêts Flash.
2. Échanger tous les jetons New Cell contre des BNB, ce qui fait que le nombre de BNB dans le pool est proche de zéro.
3. Échangez 900 BNB contre des jetons Old Cell.
4. Avant l'attaque, le hacker a d'abord ajouté de la liquidité pour Old Cell et BNB, obtenant ainsi Old lp.
5. Appeler la fonction de migration de liquidité, à ce moment-là, la nouvelle piscine a presque aucun BNB, l'ancienne piscine a presque aucun jeton Old Cell.
6. Pendant le processus de migration, en raison de la manipulation des proportions du pool, l'attaquant peut obtenir une grande quantité de liquidités avec très peu de BNB et de jetons New Cell.
7. Retirer la liquidité du nouveau pool et échanger les jetons Old Cell obtenus contre des BNB.
8. Répétez l'opération de migration pour obtenir plus de profits.

Causes fondamentales de l'attaque

Il y a un problème de calcul du nombre de jetons lors du processus de migration de la liquidité. Lors de la migration, le calcul est directement basé sur le nombre des deux devises de la paire de trading, ce qui peut être manipulé.

Conseils de sécurité

1. Lors de la migration de la liquidité, il convient de prendre en compte les variations du nombre de jetons dans les anciens et nouveaux pools, ainsi que le prix actuel des jetons.
2. Évitez d'utiliser directement le nombre de jetons dans la paire de trading pour effectuer des calculs, car cela peut être manipulé.
3. Effectuer un audit de sécurité complet avant le déploiement du code, en particulier pour les fonctions clés impliquant des flux de fonds.
4. Mettre en œuvre un mécanisme de contrôle multiple pour garantir la sécurité du processus de migration de la liquidité.
5. Envisagez de mettre en place des mesures de protection, telles que des limites de transaction ou des verrouillages temporels, afin de réduire les risques d'attaques potentielles.

Cet événement souligne à nouveau l'importance de la sécurité dans la conception et la mise en œuvre des projets DeFi, en particulier lors de la gestion de flux de fonds complexes. Les équipes de projet doivent constamment optimiser les mesures de sécurité pour faire face aux méthodes d'attaque en constante évolution.