Análisis del incidente de ataque de flash loan en Cellframe Network

El 1 de junio de 2023 a las 10:07:55 (UTC+8), Cellframe Network fue atacado por hackers en la cadena inteligente debido a un problema en el cálculo de la cantidad de tokens durante el proceso de migración de liquidez. Este ataque resultó en ganancias para los hackers de aproximadamente 76,112 dólares.

Causas del ataque

El problema en los cálculos durante el proceso de migración de liquidez es la causa fundamental de este ataque.

Proceso de ataque

1. El atacante primero obtiene 1000 BNB y 500,000 tokens New Cell a través de un Flash Loan.
2. Intercambiar todos los tokens New Cell por BNB, lo que provoca que la cantidad de BNB en el fondo se acerque a cero.
3. Intercambiar 900 BNB por el token Old Cell.
4. Antes del ataque, el atacante añadió liquidez de Old Cell y BNB, obteniendo Old lp.
5. Llamar a la función de migración de liquidez. En este momento, el nuevo fondo tiene casi nada de BNB y el fondo antiguo tiene casi nada de tokens de Old Cell.
6. El proceso de migración incluye: eliminar la liquidez antigua y devolver los tokens; agregar nueva liquidez según la proporción del nuevo fondo.
7. Debido a que en la antigua piscina casi no hay tokens de Old Cell, al retirar liquidez se obtiene un aumento de BNB y una disminución de tokens de Old Cell.
8. El usuario solo necesita agregar una pequeña cantidad de BNB y tokens New Cell para obtener liquidez, los BNB y tokens Old Cell sobrantes se devolverán al usuario.
9. El atacante elimina la liquidez del nuevo pool y cambia los tokens Old Cell devueltos por BNB.
10. Realizar operaciones de migración repetidamente para obtener ganancias.

Consejos de seguridad

1. Al migrar la liquidez, se debe considerar integralmente el cambio en la cantidad de los dos tipos de tokens en los antiguos y nuevos fondos, así como el precio actual de los tokens.
2. Evita calcular directamente utilizando las cantidades de las dos monedas del par de negociación, ya que esto puede ser manipulable.
3. Es imprescindible realizar una auditoría de seguridad completa antes de implementar el código.

Este evento subraya una vez más la importancia de implementar medidas de seguridad estrictas en los proyectos DeFi, especialmente cuando se trata de operaciones complejas como la migración de liquidez. Los equipos de proyecto deben prestar más atención a la seguridad del código y considerar mecanismos de verificación múltiple para prevenir la ocurrencia de ataques similares.