Cellframe Network flaş kredi̇ saldirisi olay analizi

2023 yılı 1 Haziran saat 10:07:55 (UTC+8), Cellframe Network, bir akıllı zincir üzerinde likidite göçü sürecindeki token sayımı sorunları nedeniyle siber saldırıya uğradı. Edinilen bilgilere göre, hacker bu saldırıdan 76,112 dolar kazanç elde etti.

Saldırı Süreci Analizi

Saldırgan önce Flaş Krediler ile 1000 adet belirli bir akıllı zincir yerel tokeni ve 500.000 adet New Cell tokeni elde etti. Ardından, saldırgan tüm New Cell tokenlerini yerel tokenlere dönüştürdü ve bu, işlem havuzundaki yerel token miktarının neredeyse sıfıra inmesine neden oldu. Son olarak, saldırgan 900 adet yerel tokeni Old Cell tokenine dönüştürdü.

Dikkate değer bir nokta, saldırganların saldırıya başlamadan önce Old Cell ve yerel tokenin likiditesini ekleyerek Old lp tokenini elde ettikleridir.

Sonrasında, saldırgan likidite göç fonksiyonunu çağırdı. Bu aşamada, yeni havuzda neredeyse hiç yerel token yoktu ve eski havuzda neredeyse hiç Old Cell token yoktu. Göç süreci aşağıdaki adımları içerir:

1. Eski likiditeyi kaldırın, kullanıcıya karşılık gelen miktarda token iade edin.
2. Yeni havuzların oranına göre yeni likidite ekleyin

Eski havuzda neredeyse hiç Old Cell tokeni olmadığı için, likidite kaldırıldığında elde edilen yerel token miktarı artarken, Old Cell tokeni miktarı azalır. Bu, kullanıcıların sadece az miktarda yerel token ve New Cell tokeni ekleyerek likidite alabilmelerine neden olur; fazla yerel token ve Old Cell tokenleri ise kullanıcılara iade edilir.

Son olarak, saldırgan yeni havuzun likiditesini kaldırır ve göç eden Old Cell token'larını yerel token'lara çevirir. Bu aşamada, eski havuzda büyük miktarda Old Cell token'ı bulunurken yerel token yoktur; saldırgan Old Cell token'larını tekrar yerel token'lara çevirerek kâr elde eder. Saldırgan ardından göç işlemini tekrarlar ve kazancını daha da artırır.

Saldırının Temel Nedenleri

Bu saldırının temel nedeni, likidite göçü sürecindeki hesaplama sorunlarıdır. Likidite göçü sırasında, proje sahipleri işlem çiftindeki iki varlığın miktarını doğrudan hesaplamakta, bu yöntem saldırganlar tarafından manipüle edilebilir.

Güvenlik Önerileri

1. Likidite taşırken, yeni ve eski havuzlardaki iki tür tokenin miktarındaki değişiklikleri ve mevcut token fiyatını dikkate almak gerekir, sadece token miktarını basit bir şekilde hesaplamak yerine.

2. Kod canlıya alınmadan önce, potansiyel güvenlik açıklarını bulmak ve düzeltmek için kapsamlı bir güvenlik denetimi yapılmalıdır.

Bu olay, karmaşık finansal işlemleri tasarlarken ve uygularken, potansiyel saldırıların ve açıkların istismarını önlemek için güvenlik ve sağlamlığa özellikle dikkat edilmesi gerektiğini bir kez daha hatırlatıyor.