Аналіз інциденту атаки на Cellframe Network з використанням термінових позик

1 червня 2023 року о 10:07:55 (UTC+8) мережа Cellframe зазнала хакерської атаки на одному з розумних ланцюгів через проблему з розрахунком кількості токенів під час процесу міграції ліквідності. Ця подія призвела до прибутку хакерів приблизно 76112 доларів.

Детальний опис атаки

1. Хакер спочатку отримує 1000 нативних токенів певного ланцюга та 500000 токенів New Cell через Термінові позики.
2. Обміняти всі токени New Cell на рідні токени, що призводить до того, що кількість рідних токенів у торговому пулі наближається до нуля.
3. Використання 900 рідних токенів для обміну на токени Old Cell.
4. Перед атакою хакер вже додав ліквідність Old Cell та рідного токена, отримавши Old lp.
5. Потім викликається функція міграції ліквідності. У цей момент новий пул майже не має рідних токенів, а старий пул майже не має токенів Old Cell.

Процес міграції включає:

• Видалити стару ліквідність та повернути відповідні токени користувачам.
• Додати нову ліквідність відповідно до нових пропорцій пули.

Оскільки токени Old Cell є дефіцитними в старому пулі, при видаленні ліквідності отримується більше рідних токенів, а токенів Old Cell стає менше. Це призводить до того, що користувачам потрібно лише кілька рідних токенів і токенів New Cell для отримання ліквідності, а надлишкові токени повертаються користувачам.

6. Хакери видаляють ліквідність нового пулу, обмінюючи токени Old Cell, що повертаються, на нативні токени.
7. У цей час у старому пулі є велика кількість токенів Old Cell, але бракує нативних токенів, зловмисник знову обмінює Old Cell на нативні токени для отримання прибутку.
8. Повторіть операцію міграції для збільшення доходу.

Рекомендації з безпеки

1. При міграції ліквідності слід повністю враховувати зміни кількості токенів старого та нового пулів, а також поточну ціну, уникаючи прямого використання кількості токенів торгової пари для розрахунків.
2. Проведення всебічного аудиту безпеки перед запуском є надзвичайно важливим.
3. При розробці смарт-контрактів слід враховувати екстремальні ринкові умови та впроваджувати механізми безпеки.
4. Регулярно проводити перевірку коду та сканування на вразливості, своєчасно усуваючи потенційні ризики.
5. Встановлення механізму реагування на надзвичайні ситуації для швидкого вирішення можливих інцидентів безпеки.

Ця подія ще раз підкреслила, що проекти DeFi повинні приділяти велику увагу безпеці під час розробки та впровадження. Команда проекту повинна постійно вдосконалювати заходи безпеки, щоб захистити активи користувачів і підтримувати здоровий розвиток екосистеми.