Аналіз події атаки на Cellframe Network за допомогою термінових позик

1 червня 2023 року о 10:07:55 (UTC+8) Cellframe Network зазнав хакерської атаки на певній блокчейн-мережі через проблему з підрахунком кількості токенів під час процесу міграції ліквідності. Ця атака призвела до прибутку хакерів приблизно 76,112 доларів.

Аналіз процесу атаки

Атакуючий спочатку отримав велику кількість коштів і токенів через Термінові позики, а потім через низку дій порушив баланс торгового пулу:

1. Отримати 1000 одиниць певної криптовалюти та 500000 токенів New Cell через Термінові позики.
2. Обміняти всі токени New Cell на певну криптовалюту, що призведе до зменшення кількості цієї криптовалюти в пулі до близько нуля.
3. Обміняти 900 цих криптовалют на токени Old Cell.

Слід зазначити, що зловмисники перед атакою вже додали ліквідність до Old Cell та деяких криптовалют, отримавши відповідні токени ліквідності.

Ядро атаки

Атакуюча сторона хитро використала вразливість у функції міграції ліквідності. Коли викликано функцію міграції, через серйозний дисбаланс у пропорціях токенів у новому та старому пулі, кількість певної криптовалюти, отриманої під час видалення старої ліквідності, стрімко зростає, в той час як кількість токенів Old Cell значно зменшується.

Це дозволяє зловмисникам додати лише невелику кількість певної криптовалюти та токенів New Cell, щоб отримати велику ліквідність, разом з додатковою певною криптовалютою та токенами Old Cell.

Остання стадія атаки

1. Зловмисник видаляє ліквідність нового пулу.
2. Обміняти токени Old Cell, які повертаються з міграції, на певну криптовалюту.
3. Використовуючи значну кількість токенів Old Cell у старому пулі та дуже невелику кількість певної криптовалюти в стані дисбалансу, повторно обміняти токени Old Cell на певну криптовалюту для отримання прибутку.
4. Повторно виконуйте міграційні операції, щоб збільшити прибуток.

Рекомендації з безпеки

1. Під час міграції ліквідності слід всебічно враховувати зміни в кількості двох токенів у новому і старому пулі, а також поточну ціну токенів.
2. Уникайте покладатися лише на кількість двох токенів у торговій парі для розрахунків, оскільки це може бути маніпульовано.
3. Проведення всебічного та суворого аудиту безпеки перед запуском коду для виявлення та виправлення потенційних вразливостей.

Ця подія ще раз підкреслила важливість всебічного забезпечення безпеки та суворого аудиту коду при розробці та реалізації складних фінансових операцій. Це також нагадує нам, що в швидко розвиваючійся сфері криптовалют безпека завжди є найважливішим фактором.