Análisis del incidente de ataque de flash loan a Cellframe Network

El 1 de junio de 2023 a las 10:07:55 (UTC+8), Cellframe Network fue atacada por hackers en una red blockchain debido a un problema de cálculo de la cantidad de tokens durante el proceso de migración de liquidez. Este ataque resultó en ganancias para los hackers de aproximadamente 76,112 dólares.

Análisis del proceso de ataque

El atacante primero obtuvo una gran cantidad de fondos y tokens a través de Flash Loans, y luego perturbó el equilibrio del pool de liquidez mediante una serie de operaciones:

1. Obtener 1000 de cierta criptomoneda y 500000 tokens New Cell a través de Flash Loans.
2. Intercambiar todos los tokens New Cell por alguna criptomoneda, lo que lleva a que la cantidad de esa criptomoneda en el fondo se acerque a cero.
3. Cambiar 900 de esa criptomoneda por tokens Old Cell.

Es importante señalar que el atacante ya había agregado liquidez a Old Cell y a cierta criptomoneda antes del ataque, obteniendo así los tokens de liquidez correspondientes.

Núcleo del ataque

El atacante aprovechó ingeniosamente una vulnerabilidad de cálculo en la función de migración de liquidez. Al invocar la función de migración, debido a un grave desequilibrio en la proporción de tokens entre los antiguos y nuevos fondos, la cantidad de cierta criptomoneda obtenida al eliminar la antigua liquidez se disparó, mientras que la cantidad de tokens de Old Cell disminuyó drásticamente.

Esto permite que los atacantes solo necesiten agregar una pequeña cantidad de cierta criptomoneda y el token New Cell para obtener una gran cantidad de liquidez, al mismo tiempo que obtienen criptomonedas adicionales y el token Old Cell.

Última etapa del ataque

1. El atacante elimina la liquidez del nuevo grupo.
2. Cambiar el token Old Cell devuelto por la migración por alguna criptomoneda.
3. Aprovechar el estado de desequilibrio entre una gran cantidad de tokens Old Cell en el viejo fondo y una cantidad muy pequeña de cierta criptomoneda para recomprar los tokens Old Cell y obtener ganancias.
4. Repetir la operación de migración para aumentar aún más los beneficios.

Sugerencias de seguridad

1. Al realizar la migración de liquidez, se debe considerar integralmente el cambio en la cantidad de los dos tokens en los nuevos y antiguos grupos, así como el precio actual de los tokens.
2. Evita basar tus cálculos únicamente en la cantidad de los dos tokens en el par de negociación, ya que esto es susceptible a manipulación.
3. Realizar una auditoría de seguridad completa y rigurosa antes de lanzar el código para identificar y reparar posibles vulnerabilidades.

Este incidente subraya una vez más la importancia de tener en cuenta la seguridad integral y de realizar revisiones de código rigurosas al diseñar e implementar operaciones financieras complejas. También nos recuerda que en el rápidamente cambiante campo de las criptomonedas, la seguridad siempre debe ser la máxima prioridad.