Cellframe Network flaş kredi̇ saldirisi ile karşılaştı, kayıp 70,000 dolardan fazla.

2023年6月1日，Cellframe Network 在币安智能链上遭遇黑客攻击，导致约76,112美元的损失。这次攻击主要利用了流idite迁移过程中的代koin sayısı hesaplama açığı.

Saldırı Süreci Analizi

Hackerler öncelikle Flaş Krediler aracılığıyla 1000 BNB ve 500,000 New Cell token dahil olmak üzere büyük miktarda fon elde ettiler. Ardından, bir dizi işlemle işlem havuzunun dengesini bozdu.

1. Tüm New Cell token'lerini BNB'ye çevirerek havuzdaki BNB miktarının tükenmek üzere olmasına neden oldu.
2. 900 BNB ile Old Cell tokeni satın al.
3. Saldırmadan önce, hacker Old Cell ve BNB'ye likidite ekledi ve Old LP tokenlerini aldı.

Sonrasında, hacker likidite taşıma fonksiyonunu çağırdı. Yeni havuzda neredeyse hiç BNB yokken, eski havuzda neredeyse hiç Old Cell tokeni olmaması hesaplama hatasına yol açtı. Taşıma sürecinde, sistem kullanıcıların sadece az miktarda BNB ve New Cell tokeni ile büyük miktarda likidite elde edebileceğini yanlış bir şekilde düşündü ve fazla BNB ve Old Cell tokenlerini iade etti.

Son olarak, saldırgan yeni havuzun likiditesini kaldırır ve elde edilen Eski Hücre tokenlerini BNB'ye çevirerek arbitrajı tamamlar. Ardından, daha fazla kar elde etmek için bu işlemi tekrarlarlar.

Açığın Kaynağı

Bu saldırı, Cellframe Network'ün likidite göç mekanizmasındaki büyük bir açığı ortaya çıkardı. Sistem, token sayısını hesaplarken eski ve yeni havuzlardaki token oranlarındaki büyük değişimi yeterince dikkate almadı ve mevcut anlık fiyatı da göz ardı etti. Bu basit hesaplama yöntemi, dikkatlice tasarlanmış işlemler tarafından kolayca istismar edilebilir.

Güvenlik Önerileri

1. Likidite göçü gerçekleştirirken, eski ve yeni havuzlardaki iki tokenin miktar değişikliklerini ve mevcut piyasa fiyatını kapsamlı bir şekilde değerlendirmek gerekir.
2. İşlem çiftindeki iki tokenin sayısına dayanarak hesaplama yapmaktan kaçının, bu kolayca manipüle edilebilir.
3. Kod yayına almadan önce, kapsamlı ve titiz bir güvenlik denetimi yapılmalıdır.
4. Tek nokta arızalarının neden olduğu güvenlik açıklarını önlemek için çoklu kontrol mekanizmaları kurun.

Bu olay, DeFi projelerinin likidite yönetim mekanizmalarını tasarlarken ve uygularken son derece dikkatli olmaları gerektiğini bir kez daha vurguladı. Saldırı yöntemlerinin sürekli evrildiği bir ortamda, proje sahipleri kullanıcı varlıklarının güvenliğini sağlamak için güvenlik önlemlerini sürekli güncellemelidir.