2분기 암호화폐 해킹 및 DeFi 악용 손실이 1분기 수치와 맞먹을 전망

스마트 계약 보안 플랫폼 CertiK이 수집한 데이터에 따르면, 올해 1분기에 암호화폐 분야에서 악의적인 행위자들에 의해 3억 2천만 달러 이상이 손실되었습니다. 이 수치는 이전 분기(Q4 2022)와 전년 동기 대비 크게 감소한 수치입니다. 블록체인 보안 업체는 이 감소가 지난 3개월 동안 업계를 뒤흔든 충격적인 사건들 때문이라고 설명했습니다.

주요 사건에는 스테이블코인 시장의 혼란과 디지털 자산 부문까지 확산된 은행 위기가 있었습니다. 이로 인해 투자자들이 자금을 따로 보유하고 신규 참여와 자금 유입도 위축되었습니다. 2분기 중반이 되기 전부터 새로운 공격의 손실이 1분기 수치에 가까워질 것으로 예상되었습니다. 이는 당시 전망이며 2분기 전체의 확정 결과가 아닙니다.

4월 해킹·취약점 악용·사기로 약 1억 300만 달러 손실

3월에는 약 2억 1,100만 달러의 암호자산이 도난당했으며, 대부분은 오일러 파이낸스의 1억 9,700만 달러 해킹에서 발생했습니다. 4월 피해는 그 절반보다 조금 적었으며, CertiK는 해킹·취약점 악용·사기의 손실을 1억 370만 달러로 추정했습니다.

이 글이 인용한 수치에 따르면 첫 네 달의 총손실은 4억 2,970만 달러였습니다. 4월에는 이더리움 MEV 거래 봇을 겨냥한 공격도 발생했습니다. 악의적인 검증자가 봇의 거래를 악용해 약 2,540만 달러의 피해를 냈습니다. 비트루 거래소의 핫월렛에서도 약 2,300만 달러 상당의 이더와 기타 암호자산이 유출된 것으로 보도되었습니다.

플래시론을 이용한 공격

Yearn Finance 관련 사건은 4월의 주요 플래시론 공격 중 하나였습니다. Yearn이 공격한 것이 아니라 구형 iEarn 프로토콜과 관련 유동성 풀이 피해를 입었습니다. PeckShield의 4월 13일 분석에 따르면 공격자는 10,000 USDT로 약 1,300조 개의 yUSDT를 발행했습니다. 이는 토큰 수량이며 달러 가치가 아닙니다. 이후 교환으로 확보한 자산은 약 1,160만 달러로 추정되며, 약 61,000 USDP, 150만 TUSD, 179만 BUSD, 120만 USDT, 258만 USDC, 300만 DAI가 포함되었습니다.

헌드레드 파이낸스는 4월 15일 이더리움 레이어2 옵티미즘에서 공격받아 이 글의 추정치로 약 740만 달러를 잃었습니다. WBTC 플래시론과 hWBTC 환율 조작이 사용되었습니다. 협상이 진전되지 않자 프로젝트는 공격자 체포와 모든 자금 회수로 이어지는 정보에 500,000 USDC의 보상금을 제시했습니다. 2022년 3월에도 재진입 공격으로 약 650만 달러를 잃었습니다. 이 글은 4월 출구 사기 손실이 총 940만 달러였으며 멀린 사건이 포함되었다고 전합니다.

CertiK: 멀린의 악의적인 개발자들이 180만 달러를 가져가

zkSync의 멀린 탈중앙화 거래소는 4월 말 MAGE 토큰의 사흘간 공개 판매와 관련해 약 182만 달러를 잃었습니다. 예치금 수익률과 CertiK 감사를 홍보하던 거래소는 사건을 확인하고 이용자에게 지갑 권한을 취소하도록 요청했습니다. CertiK는 이를 개인키 관리 문제로 설명했습니다.

해당 사건을 다룬 스레드에서, 블록체인 보안 업체는 Merlin에 대한 감사 보고서의 ‘탈중앙화 노력’ 항목에서 중앙화 위험을 지적했음을 강조했습니다. 그러나 일부는 업체의 작업 품질에 의문을 제기하고 있습니다. 한편, 자금 손실을 일으킨 것으로 추정되는 악성 코드는 zkSync 위에 구축된 탈중앙화 거래소이자 런치패드인 eZKalibur에 의해 확인되었습니다. eZKalibur는 initialize 함수가 일종의 백도어를 생성해 계약 주소에서 ‘feeTo 주소’로 무제한 토큰 전송을 가능하게 했다고 지적했습니다.

보상 계획 검토 중

CertiK는 4월 26일 피해자 보상 계획을 검토하고 있으며 책임자에게 자금의 80%를 반환하고 나머지를 화이트햇 보상으로 보유할 것을 요청했다고 밝혔습니다. 외부 공격보다는 악의적인 개발자들의 행위였기 때문에 유동성을 쉽게 빼낼 수 있었다는 설명입니다. 회사는 관련자들이 유럽에 있을 것으로 추정하며 직접 협상이 실패하면 법집행기관과 협력하겠다고 밝혔습니다.

이후 CertiK는 멀린 내부자들이 지갑 권한을 악용한 러그풀이라고 주장했습니다. 남은 팀의 일부 핵심 구성원이 신원 확인을 거부해 조사와 피해자 지원이 어려웠다고 설명했습니다. 회사는 도난 자금 중 16만 달러를 동결하고 나머지를 추적하고 있다고 밝혔습니다. 미국과 영국 법집행기관과 협력하고 피해자 지원 및 출구 사기 대응에 200만 달러를 약속했습니다.

가격 오라클 조작으로 폴리곤 대출 프로토콜 0VIX에서 약 200만 달러 탈취

0VIX는 4월 말 가격 오라클 조작 공격을 받아 초기 추정치로 200만 달러 이상을 잃었습니다. 관련 토큰 vGHST는 다마고치에서 영감을 받은 게임 아베고치의 GHST를 GotchiVault에 보유한 지분을 나타냅니다. 이 글이 인용한 PeckShield 추정에 따르면 공격자는 약 612만 달러 규모의 스테이블코인 플래시론으로 vGHST 대출 포지션을 열었습니다.

공격자는 vGHST 가치 계산과 대출 포지션을 조작했습니다. 계약으로 GHST를 전송해 금고 토큰의 환율을 높인 뒤 포지션을 청산해 자금을 가져갔고 부실채무를 남겼습니다. 이는 전체 GHST 시장가격이 단순히 급등한 것과는 다릅니다. 팀은 폴리곤 PoS와 zkEVM 대출시장을 중단하고 조사에 착수했습니다.

0VIX Protocol Association은 이후 zkEVM 시장을 재개해 이용자가 자금에 제한 없이 접근할 수 있다고 밝혔습니다. 포지션과 건전성 지표인 헬스 팩터를 확인하고 미상환 채무를 갚도록 요청했습니다. zkEVM 중단은 예방조치였으며 해당 시장은 공격받지 않았습니다. 협회는 조사 보호를 위해 세부 공개를 제한하면서 보안 협력사와 도난 자금 회수를 계속한다고 밝혔습니다.

레벨 파이낸스 보상 로직 오류로 약 100만 달러 상당 LVL 탈취

5월 초 레벨 파이낸스에서 약 100만 달러 상당의 LVL이 도난당했습니다. BNB 체인 기반 비수탁형 현물·무기한 계약 거래소는 5월 1일 LevelReferralControllerV2 추천 계약이 표적이었다고 확인했습니다. 반복 보상 청구 오류로 약 214,000 LVL이 유출되어 3,345 BNB로 교환되었습니다.

블록체인 보안 회사 PeckShield는 이번 해킹이 동일 에포크 내에서 반복적인 추천 청구를 가능하게 하는 버그 때문이며, Level Finance는 이 버그가 최근 인센티브 메커니즘 업데이트에서 비롯된 것이라고 확인했습니다. 플랫폼은 공격을 차단하기 위해 일시적으로 추천 프로그램을 중단했지만, 이 사건이 유동성 풀이나 연계된 DAO에 영향을 미치지는 않았습니다.

Deus Finance, 600만 달러 규모 공격 후 계약 중단 및 DEI 소각

Deus Finance는 5월 초 BNB 스마트 체인과 아비트럼의 DEI 스테이블코인 공격을 발표했으며, 초기 피해 추정은 600만 달러 이상이었습니다. DEI의 burnFrom 함수 권한 오류가 무단 전송을 가능하게 했고, 일부 공격 거래는 다른 거래에 선행당했습니다. 이 글은 DEI/BUSD 풀에서 1,337,375 BUSD가 유출되고 아비트럼에서 약 500만 달러가 손실되었다고 전합니다. 후자는 ARB/ETH 거래 풀이 아닙니다. Deus는 추가 손실을 막기 위해 계약을 중단하고 온체인 DEI를 소각했습니다. 팀은 DEI 담보를 평가하고 소각 이전 잔액을 기준으로 회수·상환 계획을 세우겠다고 밝혔습니다.

Deus는 사고 이후 차익거래 과정에서 자금이 묶인 사람들의 거래를 신속히 되돌릴 수 있는지 검토한다고 밝혔습니다. Deus v3는 DEI와 분리되어 있어 영향을 받지 않았다는 설명입니다. 또한 탈취금의 80%를 반환하고 나머지를 화이트햇 보상으로 보유하도록 요청했습니다. 당시 게시물에서 Deus는 2,023 ETH가 Yearn Finance 관련 신뢰받는 구성원들이 관리하는 복구용 다중서명 지갑 주소로 반환되었다고 전했습니다.