慢霧：Cellframe 被黑簡析_CEL

據慢霧安全團隊情報，2023 年 6 月 1 日，Cellframe 遭到閃電貸攻擊，Cellframe ERC20 v2 價格下跌 41.2%。慢霧安全團隊第一時間介入分析，并將結果分享如下：

相關信息

攻擊者地址：

0x2525c811EcF22Fc5fcdE03c67112D34E97DA6079

攻擊者合約地址：

0x1e2a251b29e84e1d6d762c78a9db5113f5ce7c48

攻擊交易：

0x943c2a5f89bc0c17f3fe1520ec6215ed8c6b897ce7f22f1b207fea3f79ae09a6

攻擊者添加 LP(OLD) 交易：

慢霧：遠程命令執行漏洞CVE-2023-37582在互聯網上公開，已出現攻擊案例:金色財經報道，據慢霧消息，7.12日Apache RocketMQ發布嚴重安全提醒，披露遠程命令執行漏洞（CVE-2023-37582）目前PoC在互聯網上公開，已出現攻擊案例。Apache RocketMQ是一款開源的分布式消息和流處理平臺，提供高效、可靠、可擴展的低延遲消息和流數據處理能力，廣泛用于異步通信、應用解耦、系統集等場景。加密貨幣行業有大量平臺采用此產品用來處理消息服務，注意風險。漏洞描述：當RocketMQ的NameServer組件暴露在外網時，并且缺乏有效的身份認證機制時，攻擊者可以利用更新配置功能，以RocketMQ運行的系統用戶身份執行命令。[2023/7/14 10:54:22]

0xe2d496ccc3c5fd65a55048391662b8d40ddb5952dc26c715c702ba3929158cb9

慢霧：LendHub疑似被攻擊損失近600萬美金，1100枚ETH已轉移到Tornado Cash:金色財經報道，據慢霧區情報，HECO生態跨鏈借貸平臺LendHub疑似被攻擊，主要黑客獲利地址為0x9d01..ab03。黑客于1月12日從Tornado.Cash接收100ETH后，將部分資金跨鏈到Heco鏈展開攻擊后獲利，后使用多個平臺（如TransitSwap、Multichain、Uniswap、Curve和OptimismBridge）跨鏈或兌換被盜資金。截至目前，黑客已分11筆共轉1,100ETH到Tornado.Cash。被攻擊的具體原因尚待分析，慢霧安全團隊將持續跟進此事件。[2023/1/13 11:10:43]

前置信息

此次攻擊中出現多個新舊合約，我們將使用 LpMigration 合約中新舊合約的參數名作為本次攻擊分析中的合約名。

慢霧：跨鏈互操作協議Poly Network遭受攻擊并非由于網傳的keeper私鑰泄漏:對于跨鏈互操作協議Poly Network遭受攻擊事件，慢霧安全團隊分析指出：本次攻擊主要在于EthCrossChainData合約的keeper可由EthCrossChainManager合約進行修改，而EthCrossChainManager合約的verifyHeaderAndExecuteTx函數又可以通過_executeCrossChainTx函數執行用戶傳入的數據。因此攻擊者通過此函數傳入精心構造的數據修改了EthCrossChainData合約的keeper為攻擊者指定的地址，并非網傳的是由于keeper私鑰泄漏導致這一事件的發生。[2021/8/11 1:47:48]

address OLD_CELL: 0xf3E1449DDB6b218dA2C9463D4594CEccC8934346

動態 | 慢霧：9 月共發生 12 起較典型的安全事件，供應鏈攻擊趨勢愈發明顯:過去的 9 月區塊鏈生態共發生 12 起較典型的安全事件，包括：EOSPlay 遭受新型隨機數攻擊、資金盤項目 FairWin 智能合約權限管理缺陷、EOS 黑名單賬號 craigspys211 利用新晉 BP 黑名單缺陷轉移走 19.999 萬枚 EOS 等典型安全事件。此外，慢霧區塊鏈威脅情報(BTI)系統監測發現，針對區塊鏈生態的供應鏈攻擊越來越多，形如：去年 11 月慢霧披露的污染 NPM 模塊 EventStream、今年 7 月披露的對數字貨幣錢包 Agama 構建鏈的攻擊、今年 8 月披露的針對數字貨幣行情/導航站的 URL 劫持攻擊，還有 9 月慢霧披露的針對交易所使用的第三方統計、客服 js 的惡意代碼植入，進行實施盜幣攻擊。[2019/10/1]

address LP_OLD: 0x06155034f71811fe0D6568eA8bdF6EC12d04Bed2

聲音 | 慢霧：Ghostscript存在多個漏洞:據慢霧區消息，Google Project Zero發布Ghostscript多個漏洞預警，遠端攻擊者可利用漏洞在目標系統執行任意代碼及繞過安全限制。Ghostscript 9.26及更早版本都受影響。軟件供應商已提供補丁程序。[2019/1/24]

address CELL: 0xd98438889Ae7364c7E2A3540547Fad042FB24642

address LP_NEW: 0x1c15f4E3fd885a34660829aE692918b4b9C1803d

具體細節分析

1. 通過 DODO 的 DPPOracle 閃電貸 1000 個 BNB。

2. 通過 PancakeSwap V3 閃電貸 50 萬枚 CELL。

3. 攻擊者在 PancakeSwap V2 LP_NEW 池子中 ，將閃電貸來的 50 萬枚 CELL Token 全部 swap 為 50 枚 BNB。這時，LP_NEW 池中僅剩 8 枚 BNB，而 CELL 有 55 萬枚。

4. 緊接著，攻擊者在另外一個 PancakeSwap V2 池子 LP_OLD 池中，將 900 枚 BNB swap 為 OLD_CELL。此時 LP_OLD 中的 BNB 數量為 902 枚，OLD_CELL 僅有 7 枚。

5. 在攻擊者將 BNB 兌換成 OLD_CELL 后，我們發現攻擊者直接調用 LpMigration 合約的 migrate 函數進行 LP 遷移。奇怪的是，在我們剛剛的分析里，攻擊者并沒有獲取 LP Token 的操作，那么這些 LP Token 又是從哪里來的呢？

6. 于是回到攻擊合約，通過攻擊合約的前一筆交易可以發現，攻擊者在交易中向 LP_OLD 池子添加流動性，獲取 LP(OLD) Token。

7. 攻擊者對 LP_OLD 池的 LP(OLD) 進行連續 migrate 操作，細節如下：

先調用 migrateLP 函數移除 LP(OLD) 的流動性，并將代幣返還給用戶。由于池子 LP_OLD 中的 BNB 代幣很多，在移除流動性時，計算所獲得的 BNB 數量會增加，OLD_CELL 減少。隨后，在 LP_NEW 池中，getReserves 獲取到 BNB 和 CELL 的數量。由于之前的 swap 操作，LP_NEW 池中的 BNB 數量少，CELL 數量多，所以計算出來的 resoult 值會偏大，使得新計算出的 CELL 的 token1 值也偏大。

8. 然而，原本 LpMigration 合約中又是存在 CELL 代幣的，所以攻擊者添加流動性所用的 token1 代幣 CELL 都來自 LpMigration 合約。隨后將計算出的結果添加流動性到 ROUTER_V2 池中。（PS: 這也是為什么在攻擊發生后，Cellframe: Deployer 會通過 withdrawCELL() 函數將合約中的 CELL 代幣全部取出）

9. 也就是說，攻擊者利用 LP_OLD 池中 BNB 多，OLD_CELL 少，通過移除流動性獲取到更多的 BNB。而在 LP_NEW 池中 BNB 少，CELL 多的情況下，以少量的 BNB 和 CELL 就可以添加流動性。攻擊者通過多次 migrate 操作獲利。

10. 最后，攻擊者將 LP_NEW 的流動性移除，將 OLD_CELL 在 LP_OLD 池中兌換為 BNB，并在一個新的 CELL-BUSD 池中先兌換成 BUSD 再兌換成 BNB，償還 FlashLoan，獲利 245.522826177178247245 BNB。

總結

此次攻擊的核心在于利用流動性遷移計算，攻擊者操縱兩個不同池子中的流動性致其不平衡，進而套利。

慢霧科技

個人專欄

閱讀更多

區塊律動BlockBeats

曼昆區塊鏈法律

Foresight News

GWEI Research

吳說區塊鏈

西柚yoga

ETH中文

金色早8點

金色財經 子木

ABCDE

0xAyA

Tags：CELLCELBNBNEWConsensus Cell NetworkCELT價格bnb什么銀行newton幣

USDC