Analyse des incidents d'attaque par prêts flash sur le réseau Cellframe

Le 1er juin 2023 à 10h07m55s (UTC+8), Cellframe Network a été victime d'une attaque de hacker sur une certaine chaîne intelligente en raison d'un problème de calcul du nombre de tokens lors du processus de migration de liquidité. Les hackers ont réalisé un profit de 76 112 dollars.

Analyse des événements

L'attaquant utilise la fonctionnalité de Prêts Flash pour obtenir une grande quantité de fonds et de jetons, en manipulant le ratio des jetons dans la piscine de liquidités pour mener à bien l'attaque.

Processus d'attaque

1. L'attaquant obtient d'abord 1000 unités d'une certaine cryptomonnaie et 500 000 jetons New Cell par le biais de Prêts Flash.
2. Échanger tous les jetons New Cell contre une certaine devise, ce qui entraîne une quantité de cette devise dans le pool approchant de 0.
3. Échanger 900 unités d'une certaine cryptomonnaie contre des jetons Old Cell.
4. Avant l'attaque, l'attaquant a ajouté Old Cell et la liquidité d'une certaine cryptomonnaie, obtenant Old lp.
5. Appeler la fonction de migration de liquidité. À ce stade, il n'y a presque pas de certaines devises dans le nouveau pool, et il n'y a presque pas de jetons Old Cell dans l'ancien pool.
6. Pendant le processus de migration, en raison du déséquilibre des proportions dans le pool, l'attaquant peut obtenir une grande quantité de liquidité à un coût très bas.
7. Enfin, l'attaquant retire la liquidité du nouveau pool et échange les tokens Old Cell retournés contre une certaine crypto-monnaie, complétant ainsi son profit.

Cause fondamentale

Le problème de calcul lors du processus de migration de liquidité est la cause fondamentale de cette attaque. L'équipe du projet n'a pas suffisamment pris en compte la situation où le ratio des pools est manipulé de manière extrême lors de la conception du mécanisme de migration.

Conseils de sécurité

1. Lors de la migration de liquidités, il convient de prendre en compte l'évolution des quantités des deux tokens dans les anciens et nouveaux pools ainsi que leur prix actuel.
2. Évitez d'utiliser directement le nombre des deux monnaies dans la paire de trading pour effectuer des calculs, car cela peut être manipulé par des attaquants.
3. Effectuer un audit de sécurité complet avant le déploiement du code, en particulier pour la logique des opérations sensibles telles que la migration de liquidité.
4. Mettre en place des limites et des mécanismes de contrôle raisonnables pour prévenir les comportements d'arbitrage en cas de situations extrêmes.

Cet incident d'attaque nous rappelle une fois de plus que lors de la conception et de la mise en œuvre des protocoles DeFi, il est essentiel de prendre en compte divers scénarios d'attaque et de mettre en place des mesures de sécurité appropriées. De plus, des audits de sécurité réguliers et des programmes de primes pour les vulnérabilités sont également des moyens importants pour protéger la sécurité du projet.