2022년 10월 DeFi 공격 증가와 Mango·Phantom 관련 사건

2022년 10월 12일, 디지털 자산 관리와 법정화폐 기반 금융 서비스를 제공하는 Blockbank는 중앙화 금융(CeFi)과 탈중앙화 금융(DeFi)을 아우르는 앱의 V3 업데이트에 Avalanche 지원을 추가할 계획이라고 예고했습니다. 기사에 따르면 V3는 10월 17일 출시돼 속도와 안정성을 개선하고 Avalanche의 프로토콜과 자산에 대한 접근을 제공했습니다.

Blockbank는 여러 업체와 협력했다고 밝혔습니다. 여기에는 USDC 발행사 Circle, 블록체인 분석업체 Chainalysis, NFT 도메인 제공업체 Unstoppable Domains가 포함됐습니다. 회사는 개편된 디자인, 더 빠른 고객확인(KYC), 거래 수수료 계산 개선, ETH·AVAX·BNB 교환 기능을 소개했습니다. 보안 개선은 마케팅 책임자의 설명이었습니다.

2022년 10월 늘어난 해킹 피해

이 통합은 블록체인 서비스 확장의 한 사례였지만, 암호화폐 업계는 다양한 공격에 계속 노출돼 있었습니다. Chainalysis는 2022년 10월 중순 공개한 현황에서 그달 해킹 피해가 크게 늘었다고 보고했습니다.

Chainalysis는 당시 10월이 이미 2022년 중 해킹 피해액이 가장 큰 달이라고 설명했습니다. 연초부터 약 125건의 공격으로 30억 달러 이상이 탈취됐다는 집계와 함께, 추세가 이어지면 2021년 기록을 넘어설 수 있다고 전망했습니다. 당시의 누적 집계와 전망이지 연말 확정 수치는 아니었습니다.

기사는 10월 11일 Mango Markets 공격을 포함한 피해가 약 1억 2천만 달러였고, Mango 피해 추정치는 약 1억 1천3백만 달러라고 전했습니다. 월초 BNB Chain의 BSC Token Hub 공격에서는 약 1억 달러가 외부로 빠져나갔다고 보도했습니다. Chainalysis가 제시한 교차체인 브리지 피해 약 6억 달러와 82%는 당시 10월 누적 피해 중 브리지 비중을 가리키며, 6억 달러가 전체 월간 손실이라는 뜻은 아닙니다.

Mango Markets DAO와 공격자의 자금 반환 합의

Mango Markets는 Solana 기반 DeFi 거래 프로토콜이며 DAO는 그 운영에 관한 투표를 담당합니다. 기사는 반환 합의안이 행사된 투표권의 96.6% 지지를 받았다고 전했습니다. 약 6천7백만 달러를 반환하고 약 4천7백만 달러를 이른바 버그 보상으로 남기는 조건이었습니다. 법적 조치를 하지 않겠다는 조건은 거래 수수료 면제가 아니며 형사상 면책을 보장하지도 않습니다. 공격자가 탈취한 토큰으로 앞선 제안에 투표했다는 보도와 최종 합의안의 투표 결과는 구분해야 합니다.

Avraham Mayer Eisenberg는 주말에 자신과 팀이 해당 행위를 했다고 인정하면서 합법적인 거래였다고 주장했습니다. 이는 그의 주장이며 법원의 판단이 아니었습니다. 그는 프로토콜의 부실채무와 보험기금을 언급했고, 기사는 여러 자산으로 약 6천7백만 달러를 반환했다고 전했습니다. 여기서 재무자금은 정부 재무부가 아니라 프로토콜의 자금입니다.

“상황을 해결하기 위해 저는 보험 기금과 합의 계약을 협상했으며, 가능한 한 빨리 모든 사용자를 완전하게 보상하고 거래소에 재자본을 투입하는 것을 목표로 했습니다 […] Mango 팀이 처리를 마치면 모든 사용자는 손실 없이 전액 예금을 이용할 수 있게 될 것입니다,” Eisenberg는 이렇게 썼습니다.

산업이 악용 증가를 겪고 있는 시점에, 이번 해킹은 FTX CEO Sam Bankman-Fried를 포함한 여러 업계 리더들의 논평을 이끌어냈습니다. 악용 이후 공유된 트윗에서, 거래소 경영진은 오라클의 취약점을 지적했습니다. Bankman-Fried는 스마트 계약(온체인)을 외부 세계와 연결하고 오프체인 환경에서 데이터를 전달하는 이러한 제3자 서비스가 항상 포지션을 정확히 파악할 수는 없다고 강조했습니다.

아마도 Mango Markets와 다른 개발자들에게 가장 중요한 교훈은 DeFi 프로젝트를 개발할 때 철저함이 필요하다는 점일 것입니다. Polygon 공동창업자 Sandeep Nailwal은 10월 15일 트윗에서 현재 블록체인이 사용자 문제를 완전히 해결하지는 못하지만, 이전에 해결된 방식을 개선한다는 의견을 제시했습니다.

Phantom 이용자를 노린 가짜 비밀번호 탈취 업데이트

2022년 10월 초, 공격자들은 NFT 에어드롭을 통해 Phantom 지갑의 보안 업데이트를 사칭한 안내를 퍼뜨렸습니다. 정식 Phantom 업데이트가 변조됐다는 뜻이 아니라, 이용자를 악성 파일 설치로 유도한 사칭 수법이었습니다.

업데이트 경고는 긴박한 어조로 작성되어, 사용자에게 “Phantom은 모든 사용자가 지갑을 업데이트해야 합니다. 이는 가능한 한 빨리 수행되어야 합니다. 이를 이행하지 않으면 해커가 솔라나 네트워크를 악용해 자금 손실이 발생할 수 있습니다”라고 잘못 안내했습니다.

링크는 보안 업데이트를 가장한 사이트로 연결됐고, Windows 배치 파일 Phantom_Update_2022-10-08.bat를 내려받게 했습니다. 실행 과정에서 windll32.exe라는 악성 실행 파일을 받아 실행하도록 유도했습니다. 기사에 인용된 VirusTotal 분석 결과상 이 파일은 브라우저 정보, 비밀번호, SSH 키 등을 탈취하는 프로그램이었습니다. VirusTotal은 여러 보안 엔진의 분석 결과를 제공하는 서비스입니다. 피해 대응으로 신뢰할 수 있는 보안 도구로 기기를 점검하고, 안전한 기기에서 새 지갑을 만든 뒤 자산을 옮기는 방안이 제시됐습니다.