Analisis Kasus Serangan Pinjaman Flash pada Cellframe Network

Pada 1 Juni 2023 pukul 10:07:55 (UTC+8), Cellframe Network diserang oleh hacker di suatu rantai kontrak pintar karena masalah perhitungan jumlah token selama proses migrasi likuiditas. Serangan ini membuat hacker meraup keuntungan sekitar 76.112 dolar AS.

Penyebab Dasar Serangan

Terjadi masalah dalam perhitungan selama proses migrasi likuiditas.

Penjelasan Proses Serangan

1. Penyerang pertama-tama mendapatkan 1000 token asli dari suatu rantai dan 500.000 token New Cell melalui Pinjaman Flash. Selanjutnya, penyerang menukarkan semua token New Cell menjadi token asli, menyebabkan jumlah token asli dalam kolam likuiditas mendekati nol. Terakhir, penyerang menukarkan 900 token asli menjadi token Old Cell.

2. Perlu dicatat bahwa penyerang sebelum melakukan serangan, terlebih dahulu menambahkan likuiditas Old Cell dan token asli, untuk mendapatkan Old lp.

3. Selanjutnya, penyerang memanggil fungsi migrasi likuiditas. Pada titik ini, hampir tidak ada token asli di kolam baru, dan hampir tidak ada token Old Cell di kolam lama. Proses migrasi mencakup:

   • Menghapus likuiditas lama dan mengembalikan jumlah token yang sesuai kepada pengguna
   • Tambahkan likuiditas baru sesuai dengan proporsi kolam baru

   Karena hampir tidak ada token Old Cell di kolam lama, jumlah token asli yang diperoleh saat menghapus likuiditas meningkat, sementara jumlah token Old Cell berkurang. Hal ini menyebabkan pengguna hanya perlu menambahkan sedikit token asli dan token New Cell untuk mendapatkan likuiditas, sedangkan token asli dan token Old Cell yang berlebih akan dikembalikan kepada pengguna.

4. Terakhir, penyerang menghapus likuiditas dari kolam baru dan menukarkan token Old Cell yang dikembalikan dari migrasi menjadi token asli. Pada saat ini, kolam lama memiliki banyak token Old Cell tetapi hampir tidak memiliki token asli, penyerang menukarkan token Old Cell kembali menjadi token asli, menyelesaikan keuntungan. Penyerang kemudian mengulangi operasi migrasi.

Saran Keamanan

1. Dalam memigrasi likuiditas, harus mempertimbangkan perubahan jumlah dua jenis token di kolam lama dan baru serta harga token saat ini secara menyeluruh, untuk menghindari penggunaan langsung jumlah dari dua jenis mata uang dalam pasangan perdagangan untuk perhitungan, guna mencegah manipulasi.

2. Sebelum kode diluncurkan, pastikan untuk melakukan audit keamanan yang menyeluruh untuk mengidentifikasi dan memperbaiki potensi kerentanan.

Peristiwa ini sekali lagi menekankan pentingnya keamanan dan kualitas kode dalam bidang keuangan terdesentralisasi. Pihak proyek perlu lebih berhati-hati dalam merancang dan melaksanakan fungsi inti, terutama operasi kunci yang melibatkan aliran dana. Pada saat yang sama, pengguna juga harus meningkatkan kewaspadaan, memahami risiko yang mungkin ada, dan mengambil langkah-langkah perlindungan yang diperlukan.