تحليل حادثة هجوم القرض الفوري على شبكة Cellframe

في 1 يونيو 2023 في الساعة 10:07:55 (UTC+8)، تعرضت شبكة Cellframe لهجوم من قبل قراصنة بسبب مشكلة في حساب عدد الرموز خلال عملية نقل السيولة على سلسلة عقود ذكية. وقد حقق القراصنة من خلال هذا الهجوم أرباحًا تقدر بنحو 76,112 دولار.

السبب الجذري للهجوم

حدثت مشكلة في الحسابات خلال عملية انتقال السيولة.

شرح عملية الهجوم

1. يقوم المهاجم أولاً بالحصول على 1000 من الرموز الأصلية لسلسلة معينة و500000 من رموز New Cell من خلال القروض السريعة. بعد ذلك، يقوم المهاجم بتحويل جميع رموز New Cell إلى رموز أصلية، مما يؤدي إلى اقتراب عدد الرموز الأصلية في تجمع السيولة من الصفر. وأخيراً، يقوم المهاجم بتحويل 900 من الرموز الأصلية إلى رموز Old Cell.

2. من الجدير بالذكر أن المهاجمين قبل بدء الهجوم، قاموا أولاً بإضافة السيولة لـ Old Cell و الرموز الأصلية، ثم حصلوا على Old lp.

3. بعد ذلك، يقوم المهاجم باستدعاء دالة نقل السيولة. في هذه المرحلة، لا يوجد تقريبًا أي توكن أصلي في المساحة الجديدة، بينما لا يوجد تقريبًا أي توكن Old Cell في المساحة القديمة. تتضمن عملية النقل:
   • إزالة السيولة القديمة وإعادة الكمية المقابلة من الرموز للمستخدمين
   • إضافة سيولة جديدة وفقًا لنسبة المسبح الجديدة

نظرًا لعدم وجود رموز Old Cell في الخزان القديم تقريبًا، تزداد كمية الرموز الأصلية المستلمة عند إزالة السيولة، بينما تنخفض كمية رموز Old Cell. وهذا يؤدي إلى أن المستخدمين يحتاجون فقط إلى إضافة كمية قليلة من الرموز الأصلية ورموز New Cell للحصول على السيولة، بينما يتم إعادة الرموز الأصلية الزائدة ورموز Old Cell إلى المستخدمين.

4. أخيرًا، يقوم المهاجم بإزالة سيولة بركة الجديدة، ويقوم بتبادل رموز Old Cell العائدة من عملية النقل مقابل الرموز الأصلية. في هذه اللحظة، تحتوي البركة القديمة على كمية كبيرة من رموز Old Cell ولكن تقريبًا لا تحتوي على رموز أصلية، يقوم المهاجم بتبادل رموز Old Cell مرة أخرى مقابل الرموز الأصلية، ويكمل الربح. ثم يقوم المهاجم بتكرار عملية النقل.

نصائح الأمان

1. عند نقل السيولة، يجب أن تأخذ في الاعتبار بشكل شامل التغييرات في كميات الرمزين في البركتين القديمة والجديدة وأسعار الرموز الحالية، لتجنب استخدام كميات الرمزين في زوج التداول مباشرةً في الحسابات، لتفادي التعرض للتلاعب.

2. قبل نشر الكود، يجب إجراء تدقيق أمني شامل لاكتشاف وإصلاح الثغرات المحتملة.

تؤكد هذه الحادثة مرة أخرى على أهمية الأمان وجودة الكود في مجال التمويل اللامركزي. يجب على فرق المشاريع أن تكون أكثر حذرًا في تصميم وتنفيذ الوظائف الأساسية، خاصة تلك العمليات الرئيسية التي تتعلق بتدفق الأموال. في نفس الوقت، يجب على المستخدمين أيضًا أن يكونوا أكثر يقظة، وأن يفهموا المخاطر المحتملة، وأن يتخذوا التدابير الوقائية اللازمة.