Analyse de l'incident de l'attaque par Prêts Flash sur le réseau Cellframe

Le 1er juin 2023 à 10h07min55s (UTC+8), Cellframe Network a été attaqué par un hacker sur une certaine blockchain en raison d'un problème de calcul du nombre de tokens lors du processus de migration de liquidité. Cette attaque a permis au hacker de réaliser un profit d'environ 76 112 $.

Raison et processus de l'attaque

La cause fondamentale de l'attaque réside dans les problèmes de calcul lors du processus de migration de liquidités. Les hackers ont exploité la fonction de Prêts Flash et manipulé les pools de liquidités, tirant habilement parti des failles dans le calcul du nombre de tokens.

Le processus d'attaque est le suivant :

1. Les hackers obtiennent d'abord une grande quantité de BNB et de jetons New Cell via des Prêts Flash.
2. Échanger tous les jetons New Cell contre des BNB, ce qui fait que le nombre de BNB dans le pool est proche de zéro.
3. Échanger une grande quantité de BNB contre des jetons Old Cell.
4. Avant l'attaque, le hacker a ajouté de la liquidité Old Cell et BNB, obtenant ainsi Old lp.
5. Appeler la fonction de migration de liquidité, à ce moment-là, il n'y a presque pas de BNB dans la nouvelle piscine et presque pas de jetons Old Cell dans l'ancienne piscine.
6. Le processus de migration implique la suppression de l'ancienne liquidité et l'ajout de la nouvelle liquidité selon les proportions du nouveau pool.
7. En raison du déséquilibre des proportions de tokens dans le pool, les hackers peuvent obtenir une grande quantité de liquidités avec une très petite quantité de BNB et de New Cell tokens.
8. Enfin, le hacker retire la liquidité du nouveau pool et échange les Old Cell tokens obtenus contre des BNB, complétant ainsi son profit.

Conseils de sécurité

Pour prévenir des attaques similaires, l'équipe du projet doit :

1. Prendre en compte de manière globale les variations des quantités des deux types de jetons dans les anciens et nouveaux pools.
2. Considérez le prix actuel des jetons, plutôt que de vous fier uniquement au nombre des deux jetons dans la paire de trading.
3. Effectuer un audit de sécurité complet avant le déploiement du code.

Cet incident souligne à nouveau l'importance de mesures de sécurité strictes et d'audits de code complets dans les projets DeFi, en particulier lorsqu'il s'agit d'opérations de liquidité complexes.