Аналіз події атаки на Cellframe Network за допомогою термінових позик

1 червня 2023 року о 10:07:55 (UTC+8) мережа Cellframe зазнала хакерської атаки на смарт-ланцюзі через проблему підрахунку кількості токенів під час процесу міграції ліквідності. Ця атака призвела до отримання прибутку хакерами в розмірі близько 76,112 доларів.

Причини атаки

Проблеми з обчисленнями під час процесу міграції ліквідності є основною причиною цієї атаки.

Процес атаки

1. Зловмисник спочатку отримує 1000 BNB та 500000 токенів New Cell через Термінові позики.
2. Обміняти всі токени New Cell на BNB, що призводить до того, що кількість BNB у пулі наближається до нуля.
3. Обміняти 900 BNB на токени Old Cell.
4. Перед атакою зловмисник додав ліквідність Old Cell та BNB, отримавши Old lp.
5. Виклик функції міграції ліквідності. На цей момент у новому пулі майже немає BNB, а в старому пулі майже немає токенів Old Cell.
6. Процес міграції включає: видалення старої ліквідності та повернення токенів; додавання нової ліквідності відповідно до нових пропорцій пулу.
7. Через відсутність токенів Old Cell у старому пулі, при видаленні ліквідності кількість отриманого BNB збільшується, а кількість токенів Old Cell зменшується.
8. Користувачеві потрібно лише додати невелику кількість BNB та токенів New Cell, щоб отримати ліквідність, а зайві BNB та токени Old Cell будуть повернуті користувачу.
9. Зловмисник видаляє ліквідність нового пулу та обмінює токени Old Cell, що повертаються, на BNB.
10. Повторюйте операції з міграції для отримання прибутку.

Рекомендації з безпеки

1. Під час міграції ліквідності слід всебічно враховувати зміни в кількості двох токенів в новому та старому пулі, а також поточну ціну токенів.
2. Уникайте прямого використання кількості двох монет у торгових парах для розрахунків, оскільки це легко піддається маніпуляціям.
3. Перед запуском коду обов'язково проведіть всебічний аудит безпеки.

Ця подія ще раз підкреслила важливість впровадження суворих заходів безпеки в DeFi проєктах, особливо коли йдеться про складні операції, такі як міграція ліквідності. Проєктні команди повинні більше уваги приділяти безпеці коду та розглядати механізми багатократної перевірки, щоб запобігти подібним атакам.