Analisis Peristiwa Serangan Pinjaman Flash pada Jaringan Cellframe

Pada tanggal 1 Juni 2023 pukul 10:07:55 (UTC+8), Cellframe Network diserang oleh hacker di blockchain karena masalah perhitungan jumlah token selama proses migrasi likuiditas. Serangan ini menyebabkan hacker meraup keuntungan sekitar 76.112 dolar.

Alasan Serangan

Masalah perhitungan selama proses migrasi likuiditas adalah penyebab mendasar dari serangan ini.

Proses Serangan

1. Penyerang pertama-tama mendapatkan 1000 BNB dan 500.000 token New Cell melalui Pinjaman Flash.
2. Menukar semua token New Cell menjadi BNB, menyebabkan jumlah BNB di dalam kolam mendekati nol.
3. Tukar 900 BNB dengan token Old Cell.
4. Sebelum serangan, penyerang menambahkan likuiditas Old Cell dan BNB, mendapatkan Old lp.
5. Panggil fungsi migrasi likuiditas. Pada saat ini, kolam baru hampir tidak memiliki BNB, dan kolam lama hampir tidak memiliki token Old Cell.
6. Proses migrasi meliputi: menghapus likuiditas lama dan mengembalikan token; menambahkan likuiditas baru sesuai proporsi kolam baru.
7. Karena hampir tidak ada token Old Cell di kolam lama, BNB yang didapat saat menghapus likuiditas meningkat, sedangkan token Old Cell berkurang.
8. Pengguna hanya perlu menambahkan sedikit BNB dan token New Cell untuk mendapatkan likuiditas, BNB dan token Old Cell yang lebih akan dikembalikan kepada pengguna.
9. Penyerang menghapus likuiditas kolam baru dan menukar token Old Cell yang dikembalikan menjadi BNB.
10. Lakukan operasi migrasi berulang kali untuk mendapatkan keuntungan.

Saran Keamanan

1. Saat memindahkan likuiditas, harus mempertimbangkan secara menyeluruh perubahan jumlah dua jenis token di kolam baru dan lama serta harga token saat ini.
2. Hindari menggunakan jumlah kedua mata uang dalam pasangan perdagangan secara langsung untuk perhitungan, karena ini mudah dimanipulasi.
3. Sebelum kode diluncurkan, pastikan untuk melakukan audit keamanan secara menyeluruh.

Peristiwa ini sekali lagi menekankan pentingnya menerapkan langkah-langkah keamanan yang ketat dalam proyek DeFi, terutama saat melibatkan operasi kompleks seperti migrasi likuiditas. Pihak proyek harus lebih memperhatikan keamanan kode dan mempertimbangkan mekanisme verifikasi ganda untuk mencegah terjadinya serangan serupa.