Cellframe Network sufrió un ataque de flash loan, con pérdidas superiores a 70,000 dólares

El 1 de junio de 2023, Cellframe Network sufrió un ataque de hackers en la cadena inteligente de Binance, lo que resultó en pérdidas de aproximadamente 76,112 dólares. Este ataque se aprovechó principalmente de una vulnerabilidad en el cálculo de la cantidad de tokens durante el proceso de migración de liquidez.

Análisis del proceso de ataque

Los hackers primero obtuvieron una gran cantidad de fondos a través de Flash Loans, incluyendo 1000 BNB y 500,000 tokens New Cell. Luego, interrumpieron el equilibrio del pool de transacciones a través de una serie de operaciones:

1. Intercambiar todos los tokens New Cell por BNB, lo que provoca que la cantidad de BNB en el fondo esté cerca de agotarse.
2. Comprar el token Old Cell con 900 BNB.
3. Antes del ataque, el hacker también añadió liquidez a Old Cell y BNB, obteniendo los tokens LP antiguos.

A continuación, el hacker llamó a la función de migración de liquidez. Debido a que había casi ninguna BNB en la nueva piscina y casi ningún token Old Cell en la piscina antigua, esto provocó un error de cálculo. Durante el proceso de migración, el sistema erróneamente pensó que el usuario solo necesitaba una pequeña cantidad de BNB y tokens New Cell para obtener una gran cantidad de liquidez, y devolvió el exceso de BNB y tokens Old Cell.

Finalmente, el atacante retira la liquidez de la nueva piscina y cambia los tokens de Old Cell obtenidos por BNB, completando así el arbitraje. Luego, repiten este proceso para obtener más ganancias.

Raíz de la vulnerabilidad

Este ataque expuso un defecto significativo en el mecanismo de migración de liquidez de Cellframe Network. El sistema, al calcular la cantidad de tokens, no tuvo en cuenta la enorme variación en las proporciones de tokens entre los nuevos y antiguos grupos, y también ignoró el precio actual en tiempo real. Este método de cálculo simple puede ser fácilmente explotado por operaciones cuidadosamente diseñadas.

Sugerencias de seguridad

1. Al realizar la migración de liquidez, se debe considerar integralmente el cambio en la cantidad de los dos tokens en los nuevos y antiguos fondos, así como el precio de mercado actual.
2. Evita confiar únicamente en la cantidad de los dos tokens en el par comercial para realizar cálculos, ya que esto puede ser manipulado.
3. Antes de lanzar el código, asegúrate de realizar una auditoría de seguridad completa y rigurosa.
4. Establecer un mecanismo de múltiples verificaciones para prevenir vulnerabilidades de seguridad causadas por fallos de punto único.

Este evento subraya nuevamente la necesidad de que los proyectos DeFi sean especialmente cautelosos al diseñar e implementar mecanismos de gestión de liquidez. Con la evolución constante de las técnicas de ataque, los desarrolladores del proyecto deben actualizar continuamente las medidas de seguridad para proteger los activos de los usuarios.