암호화 해킹과 DeFi 악용으로 인한 2분기 손실은 1분기 수준과 비슷할 것으로 예상

CertiK라는 스마트 계약 보안 플랫폼이 컴파일한 데이터에 따르면, 올해 첫 분기에 암호화 공간에서 악의적 행위자에게 3억 2천만 달러 이상의 손실이 발생했습니다. 이 수치는 이전 분기(2022년 4분기)와 전년 동기 대비 큰 감소였습니다. 블록체인 보안 회사인 CertiK는 이 감소를 산업 전반에 걸쳐 발생한 우려스러운 사건들로 인한 것으로 돌렸습니다.

주목할 만한 사건들 중에는 안정화폐 시장의 혼란과 은행 위기가 디지털 자산 공간으로 확대되는 것이 포함됩니다. 이러한 사건들과 다른 불행한 사건들은 투자자들이 자금을 측면으로 이동하도록 유도했으며 잠재적인 입장자와 유입을 방지했습니다. 2분기가 거의 절반을 지나면서, 더 많은 악용 사건이 보고되었으며, 귀속 가능한 손실은 1분기 보고 수치와 같을 것으로 예상됩니다.

4월에 해킹, 악용, 사기 등으로 1억 3천만 달러의 손실

3월에는 약 2억 1천만 달러가 암호화폐에서 도난당했습니다. 이는 Euler Finance의 1억 9천 7백만 달러의 해킹이 주도했습니다. 지난달에 흘린 금액은 이보다 약간 적었습니다. 블록체인 보안 회사인 CertiK는 1억 3천 7백만 달러의 손실을 추정했습니다.
4월과 3월의 수치로 인해 첫 4개월 동안 악의적 행위자에 의해 도난당한 총 금액은 4억 2천 9백만 달러가 되었습니다. 4월의 또 다른 주요 사건은 이더리움 맥시멈 익스트랙터블 밸류(MEV) 봇 샌드위치 공격으로, 이는 2천 5백 4만 달러의 손실을 초래했습니다. Bitrue 거래소도 하나의 핫 월렛에서 이더와 다른 통화 2천 3백만 달러가 빠져나간 것으로 보고되었습니다.

플래시 론 공격

분산 금융 집계인 Yearn Finance는 지난달 플래시 론 공격에서 앞서갔습니다. 오직 오래된 프로토콜 버전을 실행하는 사용자만 영향을 받았습니다. PeckShield는 4월 13일에 보고서에서 해커가 버그를 이용하여 1만 달러의 USDT에서 1.3경의 yUSDT 토큰, 약 1천 1백 6십만 달러를铸造했다고 밝혔습니다. 그 후에 발생한 일련의 스와프에서 공격자는 6만 1천개의 USDP, 1천 5백만개의 TUSD, 1천 7백 9만개의 BUSD, 1천 2백만개의 USDT, 2천 5백 8만개의 USDC, 3백만개의 DAI를 얻을 수 있었습니다.

멀티체인 렌딩 풀인 Hundred Finance는 4월 15일에 7백 4만 달러를 잃었습니다. 이는 Optimism이라는 이더리움 레이어 2에서 WBTC를 플래시 론하는 보안 위반으로 인한 것입니다. 프로토콜은 이후 협상을 시도했지만 아무런 성과가 없자, 해커에게 5만 달러의赏金을 걸었습니다. Hundred Finance는 이전에 2022년 3월에 6백 5만 달러의 재진입 공격을 당한 적이 있습니다. 블록체인 보안 회사에 따르면, 4월에 출구 사기 등으로 잃은 총 자금은 9백 4만 달러로 증가했으며, 분산형 거래소 Merlin이 이를 주도했습니다.

CertiK, Merlin의 공격은 악의적 개발자가 1백 8십만 달러를 훔친 것

zkSync 분산형 거래소 Merlin의 1백 8십 2만 달러의 손실은 4월 25일에 발생했습니다. 이는 CertiK의 감사를 받았음에도 불구하고, MAGE 토큰의 3일간 공개 판매 중에 발생했습니다. 거래소는 인기 있는 수익을 제공하는 예금으로 인해 유명했으며, 공격 당시 모든 사용자에게 지갑 권한을 해제하도록 조언했습니다. CertiK는 이것을 개인 키 관리 문제라고 간주했습니다.

사건에 대한 스레드에서, 블록체인 보안 회사에서는 이전에 Merlin의 감사 보고서에서 ‘분산화 노력’ 항목 아래에서 중앙화 위험을 지적했다고 밝혔습니다. 일부에서는 회사 작업의 품질에 대해 의문을 제기합니다. 그러나, 자금 손실을 초래한 악성 코드는 eZKalibur라는 분산형 거래소 및 런치패드에서 확인되었습니다. eZKalibur는 initialize 함수가 계약 주소에서 ‘feeTo 주소’로 토큰을 무제한으로 전송할 수 있는 백도어를 생성한다고 지적했습니다.

보상 계획이 진행 중

CertiK는 4월 26일에 영향을 받은 사람들을 위해 보상 계획을 검토 중이라고 밝혔습니다. 동시에, 책임 있는 개인들에게 80%의 자금을 반환하고 나머지를 화이트 해트赏金으로 남겨두도록 촉구했습니다. 블록체인 보안 팀은 이것이 공격이 아니라, Merlin이 악의적 개발자에 의해 피해를 입었다고 설명했습니다. 이는 왜 해당實體가 유동성 풀을 그렇게 쉽게 빼낼 수 있었는지 설명합니다. 보안 팀은 가해자가 유럽에 있다고 믿으며, 직접 협상이 벽에 부딪히면 법 집행 기관과 협력하여 그들을 처벌하기 위해 노력하고 있다고 밝혔습니다.

금요일에 상황에 대한 업데이트에서, CertiK는 이것이 모두 Merlin 개발자의 럼 풀이었다고 주장했습니다. 개발자는 지갑 특권을 이용하여 사용자를 사기쳤습니다. 추가로, CertiK는 일부 핵심 구성원들이 身分을 확인하기를 거부하여, 피해자에 대한 검증과 최종 지원이 어려워졌다고 밝혔습니다. CertiK는 도난당한 자금 중 16만 달러를 동결했으며, 나머지 금액을 회수하기 위해 긴밀히 감시하고 있습니다. 또한, 미국과 영국의 법 집행 기관과 협력하여 이러한 노력을하고 있으며, 피해자들을 돕고 출구 사기를 방지하기 위해 2백만 달러를 제공했습니다.

해커가 가격 오라클을 조작하여 Polygon 렌딩 프로토콜 0VIX에서 2백만 달러를 훔침

4월 말, 가격 오라클 조작 공격이 렌딩 프로토콜 0VIX를 공격하여 vGHST 토큰을 악용하여 2백만 달러 이상의 손실을 입혔습니다. 블록체인 보안 회사 PeckShield는 0VIX 프로토콜 공격의 해커들이 6백 1십 2만 달러의 스테이블코인으로 구성된 플래시 론을 이용하여 vGSHT 렌딩 포지션을 열었다고 밝혔습니다.

공격자는 이후 프로토콜의 가격 오라클과 vGSHT 렌딩 풀을 조작하여 GHST의 가격을 인위적으로 올렸습니다. 이렇게 하면 vGHST 렌딩 풀은 부채가 불량해지고, 공격자는 풀의 담보를 빼앗을 수 있었습니다. 프로토콜의 핵심 팀은 Polygon POS와 zkEVM 운영(토큰 렌딩 시장)을 중단했으며, 상황을 관리하기 위한 노력을 시작했다고 밝혔습니다.

그 후의 업데이트에서, 0VIX 프로토콜 협회는 zkEVM을 재개하여 0VIX Polygon zkEVM 시장의 사용자들이 자금에 대한 무제한적인 접근을 허용했다고 밝혔습니다. 모든 사용자에게 자금의 상태와 건강한 요인을 확인하고, 미결제된 채무를 상환하도록 요청했습니다. 업데이트는 또한 0VIX zkEVM의 일시 중지가 예방 조치였으며, 공격이 영향을 미치지 않았음을澄명했습니다. 협회는 그러나, 진행 중인 조사에 대한誠実성을 보호하기 위해, 더 이상의 세부 사항을 공개하지 않았습니다. 또한, 협회는 손실된 자금을 회수하기 위해 보안 파트너와 함께 헌신적으로 일하고 있다고 밝혔습니다.

버그로 인해 Level Finance의 보상 메커니즘에서 공격자가 1천만 달러相当의 LVL 토큰을 빼앗음

이번 주, Level Finance는 1천만 달러相当의 네이티브 LVL 토큰을 훔친 공격을 당했습니다. BNB 체인 네이티브의 비수탁 스폿과 영구 계약 거래소는 5월 1일에 LevelReferralControllerV2 참조 계약을 공격하여 2천 14개의 LVL 토큰을 빼앗고, 이를 3천 3백 45개의 BNB로 교환했다고 확인했습니다.

블록체인 보안 회사 PeckShield는 이 공격이 최근 인센티브 메커니즘 업데이트에서 발생한 버그로 인해 반복적인 참조 클레임이 가능해졌기 때문이라고 밝혔습니다. Level Finance는 공격을 중단하기 위해 임시로 추천 프로그램을 중단했지만, 이 사건은 자금 풀이나 연결된 DAO에 영향을 미치지 않았습니다.

Deus Finance, 계약 중단 및 DEI 소각 후 6백만 달러의 해킹

最近의 사건에서, DeFi 프로토콜 Deus Finance는 주말에 BNB 스마트 체인과 아비트럼 배포에서 해킹의 피해를 입었다고 확인했습니다. 아직 확인되지 않았지만, 이 조작으로 인해 6백만 달러 이상의 암호화 자산을 잃었습니다. PeckShield에 따르면, 공격은 봇에 의해 선점되어 공격자가 DEI/BUSD 풀에서 1천 3백 37만 3천 7백의 BUSD와 ARB/ETH 풀에서 5백만 달러를 빼앗을 수 있었습니다. Deus는 더 이상의 손실을 방지하기 위해 모든 계약과 체인 상의 DEI 토큰을 소각했습니다. 프로토콜 팀은 DEI의 기초 담보를 능동적으로 평가하고 있으며, 사전 소각 DEI 잔액에 따라 회복과 상환 계획을 세우고 있다고 밝혔습니다.

일부 개인이 침해 이후에 중재를 시도하다가 걸렸을 수 있다는 점을 인정하면서, Deus는 이러한 거래를 신속하게 되돌릴 수 있는지 평가하고 있다고 밝혔습니다. DeFi 플랫폼은 Deus v3 시스템이 현재 사용 중이며 DEI와 분리되어 있으므로 사건에 영향을 받지 않았다고 지적했습니다. 또한, 공격자에게 80%의 수익을 반환하고 나머지를 화이트 해트賞金으로 남겨두도록 촉구했습니다. 오늘早上的 트위터에서, DEI 안정화폐 발행자 Deus Finance는 공격자가 2천 23개의 이더를 회복 멀티 시그 월렛에 반환했다고 밝혔습니다.