CEL:慢霧：Cellframe 被黑簡析_CELL

據慢霧安全團隊情報，2023 年 6 月 1 日，Cellframe 遭到閃電貸攻擊，Cellframe ERC20 v2 價格下跌 41.2%。慢霧安全團隊第一時間介入分析，并將結果分享如下：

相關信息

攻擊者地址：

0x2525c811EcF22Fc5fcdE03c67112D34E97DA6079

攻擊者合約地址：

0x1e2a251b29e84e1d6d762c78a9db5113f5ce7c48

攻擊交易：

0x943c2a5f89bc0c17f3fe1520ec6215ed8c6b897ce7f22f1b207fea3f79ae09a6

攻擊者添加 LP(OLD) 交易：

慢霧：過去一周Web3生態系統因安全事件損失近160萬美元:6月26日消息，慢霧發推稱，過去一周Web3生態系統因安全事件損失近160萬美元，包括MidasCapital、Ara、VPANDADAO、Shido、Slingshot、IPO、Astaria。[2023/6/26 22:00:21]

0xe2d496ccc3c5fd65a55048391662b8d40ddb5952dc26c715c702ba3929158cb9

前置信息

此次攻擊中出現多個新舊合約，我們將使用 LpMigration 合約中新舊合約的參數名作為本次攻擊分析中的合約名。

address OLD_CELL: 0xf3E1449DDB6b218dA2C9463D4594CEccC8934346

慢霧：仍有大部分錢包支持eth_sign，僅少部分錢包提供安全風險警告:金色財經報道，在加密貨幣NFT板塊，越來越多的釣魚網站濫用 eth_sign 簽名功能來進行盲簽欺詐，提醒或禁用這種低級的簽名方法對于保護用戶安全是至關重要的，不少 Web3 錢包已經采取相關措施來對這種危險的簽名方法進行安全提示和限制。仍有一大部分加密錢包支持 eth_sign，其中少部分錢包提供 eth_sign 安全風險警告。如果用戶仍想要使用 eth_sign，他們可以選擇支持該功能的加密錢包。但是，用戶在使用這些錢包時需要特別注意安全警告，以確保其交易的安全性。[2023/5/11 14:57:14]

address LP_OLD: 0x06155034f71811fe0D6568eA8bdF6EC12d04Bed2

慢霧：PREMINT攻擊者共竊取約300枚NFT，總計獲利約280枚ETH:7月18日消息，慢霧監測數據顯示，攻擊PREMINT的兩個黑客地址一共竊取了大約300枚NFT，賣出后總計獲利約280枚ETH。此前報道，黑客在PREMINT網站植入惡意JS文件實施釣魚攻擊，從而盜取用戶的NFT等資產。[2022/7/18 2:19:58]

address CELL: 0xd98438889Ae7364c7E2A3540547Fad042FB24642

address LP_NEW: 0x1c15f4E3fd885a34660829aE692918b4b9C1803d

慢霧：Multichain(AnySwap)被黑由于anySwapOutUnderlyingWithPermit函數相關問題:據Multichain(AnySwap)早前消息，2022年01月18日，一個影響6個跨鏈Token的關鍵漏洞正在被利用。慢霧安全團隊進行分析后表示，此次主要是由于anySwapOutUnderlyingWithPermit函數為檢查用戶傳入的Token的合法性，且未考慮并非所有underlying代幣都有實現permit函數，導致用戶資產被未授權轉出。慢霧安全團隊建議：應對用戶傳入的參數是否符合預期進行檢查，且在與其他合約進行對接時應考慮好兼容性問題。[2022/1/19 8:57:49]

具體細節分析

1. 通過 DODO 的 DPPOracle 閃電貸 1000 個 BNB。

動態 | 慢霧：9 月共發生 12 起較典型的安全事件，供應鏈攻擊趨勢愈發明顯:過去的 9 月區塊鏈生態共發生 12 起較典型的安全事件，包括：EOSPlay 遭受新型隨機數攻擊、資金盤項目 FairWin 智能合約權限管理缺陷、EOS 黑名單賬號 craigspys211 利用新晉 BP 黑名單缺陷轉移走 19.999 萬枚 EOS 等典型安全事件。此外，慢霧區塊鏈威脅情報(BTI)系統監測發現，針對區塊鏈生態的供應鏈攻擊越來越多，形如：去年 11 月慢霧披露的污染 NPM 模塊 EventStream、今年 7 月披露的對數字貨幣錢包 Agama 構建鏈的攻擊、今年 8 月披露的針對數字貨幣行情/導航站的 URL 劫持攻擊，還有 9 月慢霧披露的針對交易所使用的第三方統計、客服 js 的惡意代碼植入，進行實施盜幣攻擊。[2019/10/1]

2. 通過 PancakeSwap V3 閃電貸 50 萬枚 CELL。

3. 攻擊者在 PancakeSwap V2 LP_NEW 池子中 ，將閃電貸來的 50 萬枚 CELL Token 全部 swap 為 50 枚 BNB。這時，LP_NEW 池中僅剩 8 枚 BNB，而 CELL 有 55 萬枚。

4. 緊接著，攻擊者在另外一個 PancakeSwap V2 池子 LP_OLD 池中，將 900 枚 BNB swap 為 OLD_CELL。此時 LP_OLD 中的 BNB 數量為 902 枚，OLD_CELL 僅有 7 枚。

5. 在攻擊者將 BNB 兌換成 OLD_CELL 后，我們發現攻擊者直接調用 LpMigration 合約的 migrate 函數進行 LP 遷移。奇怪的是，在我們剛剛的分析里，攻擊者并沒有獲取 LP Token 的操作，那么這些 LP Token 又是從哪里來的呢？

6. 于是回到攻擊合約，通過攻擊合約的前一筆交易可以發現，攻擊者在交易中向 LP_OLD 池子添加流動性，獲取 LP(OLD) Token。

7. 攻擊者對 LP_OLD 池的 LP(OLD) 進行連續 migrate 操作，細節如下：

先調用 migrateLP 函數移除 LP(OLD) 的流動性，并將代幣返還給用戶。由于池子 LP_OLD 中的 BNB 代幣很多，在移除流動性時，計算所獲得的 BNB 數量會增加，OLD_CELL 減少。隨后，在 LP_NEW 池中，getReserves 獲取到 BNB 和 CELL 的數量。由于之前的 swap 操作，LP_NEW 池中的 BNB 數量少，CELL 數量多，所以計算出來的 resoult 值會偏大，使得新計算出的 CELL 的 token1 值也偏大。

8. 然而，原本 LpMigration 合約中又是存在 CELL 代幣的，所以攻擊者添加流動性所用的 token1 代幣 CELL 都來自 LpMigration 合約。隨后將計算出的結果添加流動性到 ROUTER_V2 池中。（PS: 這也是為什么在攻擊發生后，Cellframe: Deployer 會通過 withdrawCELL() 函數將合約中的 CELL 代幣全部取出）

9. 也就是說，攻擊者利用 LP_OLD 池中 BNB 多，OLD_CELL 少，通過移除流動性獲取到更多的 BNB。而在 LP_NEW 池中 BNB 少，CELL 多的情況下，以少量的 BNB 和 CELL 就可以添加流動性。攻擊者通過多次 migrate 操作獲利。

10. 最后，攻擊者將 LP_NEW 的流動性移除，將 OLD_CELL 在 LP_OLD 池中兌換為 BNB，并在一個新的 CELL-BUSD 池中先兌換成 BUSD 再兌換成 BNB，償還 FlashLoan，獲利 245.522826177178247245 BNB。

總結

此次攻擊的核心在于利用流動性遷移計算，攻擊者操縱兩個不同池子中的流動性致其不平衡，進而套利。

慢霧科技

個人專欄

閱讀更多

區塊律動BlockBeats

曼昆區塊鏈法律

Foresight News

GWEI Research

吳說區塊鏈

西柚yoga

ETH中文

金色早8點

金色財經 子木

ABCDE

0xAyA

Tags：CELCELLBNBSWAPcelo幣價格CELLS價格togetherbnb手游下載安卓Kingdomswap (New)

狗狗幣最新價格