Analisis Peristiwa Serangan Pinjaman Flash pada Cellframe Network

Pada tanggal 1 Juni 2023 pukul 10:07:55 (UTC+8), Cellframe Network diserang oleh peretas di suatu rantai pintar karena masalah perhitungan jumlah token selama proses migrasi likuiditas. Peretas mendapatkan keuntungan sebesar 76.112 dolar.

Analisis Peristiwa

Penyerang memanfaatkan fitur Pinjaman Flash untuk mendapatkan sejumlah besar dana dan token, dengan memanipulasi rasio token dalam kolam likuiditas untuk melakukan serangan.

Proses Serangan

1. Penyerang pertama-tama mendapatkan 1000 koin tertentu dan 500.000 token New Cell melalui Pinjaman Flash.
2. Menukarkan semua token New Cell menjadi suatu mata uang, menyebabkan jumlah mata uang tersebut di dalam kolam hampir mendekati 0.
3. Tukarkan 900 unit mata uang tertentu menjadi token Old Cell.
4. Sebelum serangan, penyerang menambahkan Old Cell dan likuiditas untuk suatu jenis koin, memperoleh Old lp.
5. Memanggil fungsi migrasi likuiditas. Pada saat ini, hampir tidak ada mata uang tertentu di kolam baru, dan hampir tidak ada token Old Cell di kolam lama.
6. Selama proses migrasi, karena ketidakseimbangan proporsi kolam, penyerang dapat memperoleh likuiditas dalam jumlah besar dengan biaya yang sangat rendah.
7. Terakhir, penyerang menghapus likuiditas dari kolam baru dan menukarkan token Old Cell yang dikembalikan dari migrasi menjadi suatu jenis mata uang, menyelesaikan keuntungan.

Penyebab Utama

Masalah perhitungan dalam proses migrasi likuiditas adalah penyebab utama serangan ini. Pihak proyek dalam merancang mekanisme migrasi, tidak mempertimbangkan dengan cukup situasi di mana rasio kolam dapat dimanipulasi secara ekstrem.

Saran Keamanan

1. Dalam melakukan migrasi likuiditas, harus mempertimbangkan perubahan jumlah dan harga saat ini dari kedua jenis token di kolam lama dan baru.
2. Hindari menggunakan jumlah dari kedua jenis mata uang dalam pasangan perdagangan secara langsung untuk perhitungan, karena ini mudah dimanipulasi oleh penyerang.
3. Lakukan audit keamanan menyeluruh sebelum kode diluncurkan, terutama untuk logika operasi sensitif seperti migrasi likuiditas.
4. Atur batasan dan mekanisme pemeriksaan yang wajar untuk mencegah tindakan arbitrase dalam situasi ekstrem.

Kejadian serangan kali ini kembali mengingatkan kita bahwa dalam merancang dan mengimplementasikan protokol DeFi, kita harus mempertimbangkan berbagai skenario serangan dan mengambil tindakan keamanan yang sesuai. Selain itu, audit keamanan secara berkala dan program hadiah untuk menemukan kerentanan juga merupakan cara penting untuk melindungi keamanan proyek.