Análise do incidente de ataque de empréstimo flash na Cellframe Network

No dia 1 de junho de 2023, às 10:07:55 (UTC+8), a Cellframe Network foi alvo de um ataque hacker na blockchain devido a um problema de cálculo na quantidade de tokens durante o processo de migração de liquidez. Este ataque resultou em um lucro de aproximadamente 76.112 dólares para os hackers.

Motivo do ataque

O problema no cálculo durante o processo de migração de liquidez é a causa fundamental deste ataque.

Processo de Ataque

1. O atacante primeiro obtém 1000 BNB e 500000 tokens New Cell através de Empréstimos Flash.
2. Trocar todos os tokens New Cell por BNB, fazendo com que a quantidade de BNB na pool se aproxime de zero.
3. Trocar 900 BNB por tokens Old Cell.
4. Antes do ataque, o atacante adicionou liquidez do Old Cell e BNB, obtendo o Old lp.
5. Chamar a função de migração de liquidez. Neste momento, quase não há BNB na nova piscina, e quase não há tokens Old Cell na piscina antiga.
6. O processo de migração inclui: remover a antiga liquidez e devolver os tokens; adicionar nova liquidez de acordo com a nova proporção do pool.
7. Devido à quase ausência de tokens Old Cell na pool antiga, o BNB obtido ao remover a liquidez aumenta e os tokens Old Cell diminuem.
8. Os usuários só precisam adicionar uma pequena quantidade de BNB e tokens New Cell para obter liquidez, enquanto o excesso de BNB e tokens Old Cell é devolvido aos usuários.
9. O atacante remove a liquidez do novo pool e troca os tokens Old Cell retornados por BNB.
10. Realizar operações de migração repetidamente para obter lucro.

Sugestões de Segurança

1. Ao migrar a liquidez, deve-se considerar de forma abrangente as mudanças na quantidade de tokens dos dois pools, novos e antigos, e o preço atual dos tokens.
2. Evite usar diretamente a quantidade de duas moedas do par de negociação para cálculos, pois isso pode ser manipulado.
3. É imprescindível realizar uma auditoria de segurança completa antes do lançamento do código.

Este evento enfatiza novamente a importância de implementar medidas de segurança rigorosas em projetos DeFi, especialmente quando se trata de operações complexas como a migração de liquidez. As equipes de projeto devem prestar mais atenção à segurança do código e considerar mecanismos de validação múltipla para prevenir a ocorrência de ataques semelhantes.