Analisis Kejadian Serangan Pinjaman Flash pada Cellframe Network

Pada 1 Juni 2023 pukul 10:07:55 (UTC+8), Cellframe Network diserang oleh hacker di suatu rantai pintar karena masalah perhitungan jumlah token selama proses migrasi likuiditas. Serangan ini menyebabkan hacker meraup keuntungan sebesar 76.112 dolar AS.

Penyebab Dasar Serangan

Penyebab dasar dari serangan terletak pada masalah perhitungan selama proses migrasi likuiditas.

Penjelasan Proses Serangan

1. Penyerang pertama-tama mendapatkan 1000 token asli dari suatu rantai dan 500.000 token New Cell melalui Pinjaman Flash. Kemudian, semua token New Cell ditukarkan menjadi token asli, yang menyebabkan jumlah token asli dalam pool likuiditas mendekati nol. Terakhir, 900 token asli ditukarkan menjadi token Old Cell.

2. Perlu dicatat bahwa penyerang menambahkan likuiditas Old Cell dan token asli sebelum melakukan serangan, sehingga memperoleh Old lp.

3. Selanjutnya, penyerang memanggil fungsi migrasi likuiditas. Pada saat ini, kolam baru hampir tidak memiliki token asli, sedangkan kolam lama hampir tidak memiliki token Old Cell. Proses migrasi meliputi langkah-langkah berikut:

   • Menghapus likuiditas lama dan mengembalikan jumlah token yang sesuai kepada pengguna
   • Tambahkan likuiditas baru sesuai dengan proporsi kolam baru

   Karena hampir tidak ada token Old Cell di kolam lama, jumlah token asli yang diperoleh saat menghapus likuiditas meningkat, sementara jumlah token Old Cell menurun. Ini menyebabkan pengguna hanya perlu menambahkan sedikit token asli dan token New Cell untuk mendapatkan likuiditas, sementara token asli dan token Old Cell yang berlebih akan dikembalikan kepada pengguna.

4. Terakhir, penyerang menghapus likuiditas dari kolam baru dan menukarkan token Old Cell yang dikembalikan dari migrasi menjadi token asli. Pada saat ini, kolam lama memiliki banyak token Old Cell tetapi tidak memiliki token asli, penyerang akan menukarkan token Old Cell kembali menjadi token asli, sehingga menyelesaikan keuntungan. Setelah itu, penyerang mengulangi operasi migrasi.

Saran Keamanan

1. Saat memindahkan likuiditas, harus mempertimbangkan secara menyeluruh perubahan jumlah dua token di kolam lama dan baru serta harga token saat ini, untuk menghindari hanya mengandalkan jumlah dua token dalam pasangan perdagangan untuk perhitungan, guna mencegah manipulasi.

2. Sebelum kode diluncurkan, pastikan untuk melakukan audit keamanan yang komprehensif untuk mengurangi risiko yang mungkin.

Peristiwa ini kembali mengingatkan kita bahwa saat menangani operasi keuangan yang kompleks, terutama yang melibatkan pertukaran token dan manajemen likuiditas, perlu lebih berhati-hati dan mengambil langkah-langkah keamanan yang berlapis. Selain itu, ini juga menyoroti pentingnya melakukan audit keamanan yang menyeluruh terhadap kontrak pintar.