Jaringan Cellframe mengalami serangan pinjaman flash, kerugian lebih dari 70 ribu dolar

Pada 1 Juni 2023, Cellframe Network mengalami serangan hacker di Binance Smart Chain, mengakibatkan kerugian sekitar 76.112 dolar AS. Serangan ini terutama memanfaatkan celah perhitungan jumlah token selama proses migrasi likuiditas.

Analisis Proses Serangan

Hacker pertama-tama memperoleh sejumlah besar dana melalui Pinjaman Flash, termasuk 1000 BNB dan 500.000 token New Cell. Kemudian, mereka mengganggu keseimbangan kolam perdagangan melalui serangkaian operasi:

1. Menukar semua token New Cell menjadi BNB, menyebabkan jumlah BNB di dalam kolam mendekati habis.
2. Menggunakan 900 BNB untuk membeli token Old Cell.
3. Sebelum serangan, hacker juga menambahkan likuiditas untuk Old Cell dan BNB, mendapatkan token LP Old.

Selanjutnya, peretas memanggil fungsi migrasi likuiditas. Karena hampir tidak ada BNB di kolam baru, dan hampir tidak ada token Old Cell di kolam lama, ini menyebabkan kesalahan perhitungan. Selama proses migrasi, sistem secara keliru menganggap bahwa pengguna hanya memerlukan sedikit BNB dan token New Cell untuk mendapatkan likuiditas yang besar, dan mengembalikan BNB dan token Old Cell yang berlebihan.

Akhirnya, penyerang menghapus likuiditas kolam baru dan menukar token Old Cell yang diperoleh menjadi BNB, menyelesaikan arbitrase. Setelah itu, mereka mengulangi proses ini untuk mendapatkan lebih banyak keuntungan.

Sumber Kerentanan

Serangan kali ini mengungkapkan kekurangan besar dalam mekanisme migrasi likuiditas Cellframe Network. Sistem ini tidak mempertimbangkan perubahan besar dalam rasio token antara kolam lama dan baru saat menghitung jumlah token, dan juga mengabaikan harga waktu nyata saat ini. Metode perhitungan yang sederhana ini mudah dieksploitasi oleh operasi yang dirancang dengan cermat.

Saran Keamanan

1. Dalam melakukan migrasi likuiditas, harus mempertimbangkan perubahan jumlah dua jenis token di kolam lama dan baru serta harga pasar saat ini.
2. Hindari hanya mengandalkan jumlah dua jenis token dalam pasangan perdagangan untuk perhitungan, karena ini mudah dimanipulasi.
3. Sebelum kode diluncurkan, pastikan untuk melakukan audit keamanan yang menyeluruh dan ketat.
4. Membangun mekanisme pemeriksaan ganda untuk mencegah kerentanan keamanan yang disebabkan oleh kegagalan titik tunggal.

Kejadian kali ini sekali lagi menekankan bahwa proyek DeFi perlu sangat berhati-hati dalam merancang dan menerapkan mekanisme manajemen likuiditas. Dengan terus berkembangnya metode serangan, pihak proyek harus terus memperbarui langkah-langkah keamanan untuk melindungi keamanan aset pengguna.