Cellframe Network зазнала флеш-атаки, збитки перевищують 70 тисяч доларів

1 червня 2023 року Cellframe Network зазнала хакерської атаки на Binance Smart Chain, що призвело до втрат приблизно в 76 112 доларів США. Ця атака в основному використовувала вразливість у підрахунку кількості токенів під час процесу міграції ліквідності.

Аналіз процесу атаки

Хакери спочатку отримали велику кількість коштів через Термінові позики, включаючи 1000 BNB та 500000 токенів New Cell. Після цього вони через ряд операцій порушили баланс торгового пулу:

1. Обміняти всі токени New Cell на BNB, внаслідок чого кількість BNB у пулі майже вичерпується.
2. Придбати токени Old Cell за 900 BNB.
3. Перед атакою хакер також додав ліквідність до Old Cell та BNB, отримавши токени Old LP.

Далі хакер викликав функцію міграції ліквідності. Оскільки в новому пулі майже не було BNB, а в старому пулі майже не було токенів Old Cell, це призвело до обчислювальної помилки. Під час міграції система помилково вважала, що користувачеві потрібно лише невелика кількість BNB та токенів New Cell для отримання великої ліквідності, і повернула надлишкові BNB та токени Old Cell.

Нарешті, зловмисник видаляє ліквідність з нового пулу і обмінює отримані токени Old Cell на BNB, завершуючи арбітраж. Після цього вони повторюють цей процес, щоб отримати більше прибутку.

Джерело вразливостей

Ця атака виявила суттєві недоліки механізму міграції ліквідності в Cellframe Network. Система при розрахунку кількості токенів не врахувала суттєві зміни у пропорціях токенів між новими та старими пулами, а також ігнорувала поточну реальну ціну. Цей простий метод обчислення легко може бути використаний для ретельно спланованих операцій.

Рекомендації з безпеки

1. Під час міграції ліквідності слід всебічно враховувати зміни в кількості двох токенів у старому та новому пулі, а також поточну ринкову ціну.
2. Уникайте покладатися лише на кількість двох токенів у торговій парі для розрахунків, це легко маніпулювати.
3. Перед запуском коду обов'язково проведіть всебічний та строгий аудит безпеки.
4. Встановлення багаторівневої системи перевірок для запобігання безпековим вразливостям, що виникають через одноточкові відмови.

Ця подія ще раз підкреслила необхідність особливої обережності в проектах DeFi при розробці та впровадженні механізмів управління ліквідністю. З огляду на постійний розвиток методів атак, команди проектів повинні постійно оновлювати заходи безпеки, щоб захистити активи користувачів.