Cellframe Network flaş kredi̇ saldirisi olay analizi

2023年6月1日10点7分55秒（UTC+8），Cellframe Network某 bir blok zinciri ağı üzerinde likidite göçü sürecindeki token sayımı sorunları nedeniyle bir siber saldırıya uğradı. Bu saldırı sonucunda hacker yaklaşık 76,112 dolar kazanç sağladı.

Saldırı Süreci Analizi

Saldırgan, öncelikle Flaş Krediler aracılığıyla büyük miktarda para ve token elde etti, ardından bir dizi işlem ile ticaret havuzunun dengesini bozdu:

1. Flaş Krediler ile 1000 adet bazı kripto para ve 500.000 adet New Cell tokeni alın.
2. Tüm New Cell tokenlerini bir kripto para birimine dönüştürmek, havuzdaki o kripto para biriminin miktarını sıfıra yakın bir seviyeye düşürür.
3. 900 adet bu kripto parayı Old Cell token'ına çevirin.

Dikkate değer bir nokta, saldırganların saldırıdan önce Old Cell ve belirli bir kripto para birimine likidite ekleyerek ilgili likidite tokenlerini elde etmiş olmalarıdır.

Saldırı Çekirdeği

Saldırgan, likidite göç fonksiyonundaki hesaplama açığını ustaca kullandı. Göç fonksiyonu çağrıldığında, eski ve yeni havuzlar arasındaki token oranlarının ciddi şekilde dengesiz olması nedeniyle, eski likiditeyi kaldırırken elde edilen bir kripto paranın miktarı fırlarken, Old Cell token miktarı önemli ölçüde azaldı.

Bu, saldırganların sadece az miktarda bir kripto para ve New Cell token'ı ekleyerek büyük miktarda likidite elde etmelerini sağlarken, aynı zamanda ek bir kripto para ve Old Cell token'ı elde etmelerini sağlıyor.

Saldırının Son Aşaması

1. Saldırgan yeni havuzun likiditesini kaldırır.
2. Göçten dönen Eski Hücre tokenlerini bir kripto para birimine dönüştür.
3. Eski havuzda bulunan çok sayıda Old Cell tokeni ve çok az miktarda bir kripto para arasındaki dengesiz durumdan yararlanarak, Old Cell tokenlerini tekrar bir kripto para birimine dönüştürerek kar elde etme.
4. Taşıma işlemini tekrar edin, kazancı daha da artırın.

Güvenlik Önerileri

1. Likidite taşıma işlemi gerçekleştirirken, yeni ve eski havuzlardaki iki tokenin miktarındaki değişiklikleri ve mevcut token fiyatlarını dikkate almanız gerekir.
2. İşlem çiftindeki iki tokenin sayısına dayanarak hesaplama yapmaktan kaçının, çünkü bu kolayca manipüle edilebilir.
3. Kodu yayına almadan önce potansiyel açıkları tespit etmek ve düzeltmek için kapsamlı ve sıkı bir güvenlik denetimi yapın.

Bu olay, karmaşık finansal işlemler tasarlarken ve uygularken kapsamlı güvenlik düşüncelerinin ve sıkı kod incelemesinin önemini bir kez daha vurgulamıştır. Ayrıca, hızla gelişen kripto para alanında güvenliğin her zaman birinci öncelik olduğunu hatırlatmaktadır.