Analisis Insiden Serangan Pinjaman Flash pada Cellframe Network

Pada 1 Juni 2023 pukul 10:07:55 (UTC+8), Cellframe Network diserang oleh peretas di suatu rantai pintar karena masalah perhitungan jumlah token selama proses migrasi likuiditas. Serangan ini menyebabkan peretas meraih keuntungan sebesar 76.112 dolar AS.

Analisis Peristiwa

Penyerang memanfaatkan fitur Pinjaman Flash untuk mendapatkan sejumlah besar dana, dengan memanipulasi rasio token di dalam kolam likuiditas untuk melaksanakan serangan. Proses serangan terutama mencakup langkah-langkah berikut:

1. Penyerang mendapatkan 1000 token asli dari suatu rantai dan 500.000 token New Cell melalui Pinjaman Flash.
2. Menukar semua token New Cell menjadi token asli, menyebabkan jumlah token asli di kolam mendekati nol.
3. Tukar 900 token asli dengan token Old Cell.
4. Sebelum serangan, penyerang menambahkan likuiditas Old Cell dan token asli, mendapatkan Old lp.
5. Memanggil fungsi migrasi likuiditas, pada saat ini kolam baru hampir tidak memiliki token asli, dan kolam lama hampir tidak memiliki token Old Cell.

Penjelasan Rincian Serangan

Proses migrasi melibatkan langkah-langkah berikut:

1. Menghapus likuiditas lama dan mengembalikan jumlah token yang sesuai kepada pengguna.
2. Tambahkan likuiditas baru sesuai dengan proporsi kolam baru.

Karena hampir tidak ada token Old Cell di kolam lama, jumlah token asli yang diperoleh saat menghapus likuiditas meningkat, sementara jumlah token Old Cell berkurang. Ini menyebabkan pengguna hanya perlu menambahkan sedikit token asli dan token New Cell untuk mendapatkan likuiditas, sementara token asli yang berlebih dan token Old Cell dikembalikan kepada pengguna.

Penyerang kemudian menghapus likuiditas kolam baru, menukarkan token Old Cell yang dikembalikan dengan token asli. Saat ini, kolam lama memiliki banyak token Old Cell tetapi tidak ada token asli, penyerang menukarkan token Old Cell kembali menjadi token asli, menyelesaikan keuntungan. Penyerang mengulangi operasi ini berkali-kali untuk mendapatkan lebih banyak keuntungan.

Ringkasan dan Saran

Serangan ini mengungkapkan celah penting dalam penanganan migrasi likuiditas. Untuk mencegah serangan serupa, disarankan untuk mengambil langkah-langkah berikut:

1. Saat memindahkan likuiditas, harus mempertimbangkan dengan cermat perubahan jumlah dua jenis token di kolam lama dan baru serta harga token saat ini.
2. Hindari menggunakan jumlah dua mata uang dalam pasangan perdagangan secara langsung untuk perhitungan, karena ini mudah dimanipulasi.
3. Lakukan audit keamanan menyeluruh sebelum kode diluncurkan untuk menemukan dan memperbaiki potensi kerentanan.

Peristiwa ini sekali lagi menekankan pentingnya keamanan dan ketahanan saat merancang dan menerapkan protokol keuangan terdesentralisasi. Tim pengembang harus selalu waspada dan mengambil langkah perlindungan ganda untuk memastikan keamanan dana pengguna.