Аналіз події атаки на Cellframe Network за допомогою Термінових позик

1 червня 2023 року о 10:07:55 (UTC+8) мережа Cellframe зазнала хакерської атаки на блокчейні BSC через проблему з підрахунком кількості токенів під час процесу міграції ліквідності. Ця атака принесла хакерам прибуток приблизно в 76 112 доларів.

Аналіз атак

Хакери використали Термінові позики та ліквідні пул для маніпуляцій під час цієї атаки. Основні етапи атаки наведені нижче:

1. Отримайте 1000 BNB та 500000 токенів New Cell за допомогою Термінових позик.
2. Обміняти всі токени New Cell на BNB, внаслідок чого кількість BNB у пулі наближається до нуля.
3. Обміняти 900 BNB на токени Old Cell.
4. Перед атакою хакер спочатку додав ліквідність Old Cell та BNB, отримавши Old lp.
5. Викликати функцію міграції ліквідності, в цей момент новий пул майже не має BNB, старий пул майже не має токенів Old Cell.
6. Під час міграції, через маніпуляцію з пропорціями пулу, атакуючий може отримати велику ліквідність за дуже невелику кількість BNB та токенів New Cell.
7. Видалити ліквідність нового пулу та обміняти отримані токени Old Cell на BNB.
8. Повторюйте операції з міграції для отримання більшого прибутку.

Основна причина атаки

Під час процесу міграції ліквідності виникла проблема з обчисленням кількості токенів. Пряме взяття кількості двох валют торгової пари під час міграції може бути легко маніпульоване.

Рекомендації з безпеки

1. При міграції ліквідності слід враховувати зміни в кількості обох токенів у старому та новому пулі, а також поточну ціну токенів.
2. Уникайте прямого використання кількості токенів у торговій парі для розрахунків, це легко піддається маніпуляціям.
3. Провести всебічний аудит безпеки перед запуском коду, особливо для ключових функцій, пов'язаних з фінансовими потоками.
4. Запровадження багатократних механізмів перевірки для забезпечення безпеки процесу міграції ліквідності.
5. Розгляньте можливість встановлення обмежень на торгівлю або часових блокувань для зменшення потенційних ризиків атак.

Ця подія ще раз підкреслює важливість безпеки DeFi проектів під час їхнього проектування та реалізації, особливо при обробці складних фінансових потоків. Розробники проектів повинні постійно оптимізувати заходи безпеки, щоб протистояти еволюціонуючим методам атак.