Cellframe Network flaş kredi saldırısı olayı analizi

2023 yılının 1 Haziran'ında saat 10:07:55 (UTC+8), Cellframe Network, bir akıllı zincirde likidite göçü sürecindeki token sayımı sorunları nedeniyle bir siber saldırıya uğradı. Bu saldırı sonucunda hacker 76,112 dolar kazanç elde etti.

Olay Analizi

Saldırganlar, Flaş Krediler özelliğini kullanarak büyük miktarda fon elde ediyor ve likidite havuzundaki token oranlarını manipüle ederek saldırıyı gerçekleştiriyor. Saldırı süreci esasen aşağıdaki adımları içermektedir:

1. Saldırgan, Flaş Krediler aracılığıyla 1000 adet belirli bir zincirin yerel token'ını ve 500.000 adet New Cell token'ını elde etti.
2. Tüm New Cell tokenlerini yerel token ile değiştirmek, havuzdaki yerel token miktarını sıfıra yakın hale getirir.
3. 900 yerel token ile Eski Hücre tokenini değiştirin.
4. Saldırıdan önce, saldırgan Old Cell ve yerel tokenin likiditesini ekledi ve Old lp'yi elde etti.
5. Likidite taşıma fonksiyonu çağrıldığında, yeni havuzda neredeyse hiç yerel token yoktur, eski havuzda ise neredeyse hiç Old Cell token yoktur.

Saldırı Süreci Detaylı Açıklama

Taşınma süreci aşağıdaki adımları içerir:

1. Eski likiditeyi kaldırın ve karşılık gelen miktardaki tokenleri kullanıcılara iade edin.
2. Yeni havuzun oranına göre yeni likidite ekleyin.

Eski havuzda neredeyse hiç Old Cell tokeni olmadığı için, likidite kaldırıldığında elde edilen yerel token sayısı artarken, Old Cell tokeni sayısı azalır. Bu, kullanıcıların sadece az miktarda yerel token ve New Cell tokeni ekleyerek likidite elde edebileceği anlamına gelir; fazla yerel token ve Old Cell tokenleri ise kullanıcılara geri döner.

Saldırgan, ardından yeni havuzun likiditesini kaldırarak, geri taşınan Old Cell token'lerini yerel token ile değiştirdi. Bu aşamada, eski havuzda çok sayıda Old Cell token'i olmasına rağmen yerel token yoktur; saldırgan, Old Cell token'lerini tekrar yerel token ile değiştirerek kar elde eder. Saldırgan, daha fazla kâr elde etmek için bu işlemi defalarca tekrarlar.

Özet ve Öneriler

Bu saldırı, likidite göçü işlenirken önemli bir açığı ortaya çıkardı. Benzer saldırıları önlemek için aşağıdaki önlemlerin alınması önerilmektedir:

1. Likidite taşırken, eski ve yeni havuzlardaki iki tokenin sayısındaki değişiklikleri ve mevcut token fiyatını kapsamlı bir şekilde dikkate almalısınız.
2. İşlem çiftindeki iki para biriminin miktarını doğrudan kullanarak hesaplama yapmaktan kaçının, çünkü bu kolayca manipüle edilebilir.
3. Kodu yayına almadan önce potansiyel açıkları bulmak ve düzeltmek için kapsamlı bir güvenlik denetimi gerçekleştirin.

Bu olay, merkeziyetsiz finans protokollerinin tasarımı ve uygulanmasında güvenlik ve dayanıklılığın önemini bir kez daha vurguladı. Geliştirici ekipler her zaman dikkatli olmalı ve kullanıcı fonlarının güvenliğini sağlamak için çoklu koruma önlemleri almalıdır.