[특집] 해커들이 KPI를 넘어섰다?

일부 해커는 솔라나 생태계에서 수억 달러의 자금을 오용하고 활용했으며 다른 해커는 거래소의 취약점을 악용했습니다. 동시에 일부 Web3 프로젝트도 개인 키 유출 및 플래시 론 공격으로 어려움을 겪었습니다.

Beosin EagleEye Web3 Security Monitor는 보도 시간 현재 지난 주 총 8건의 Web3 보안 사고가 발생했으며 누적 피해액은 약 1억 2천만 달러에 이른다고 밝혔습니다.

10월 9일

1. Xave Finance가 해킹되어 RNBW 발행량이 1,000배 증가했습니다.

10월 9일 해커는 제안을 실행하기 위해 DaoModule 컨트랙트 0x8f90에서 executeProposalWithIndex() 함수를 호출하는 악성 컨트랙트를 배포했습니다. 제안 내용은 mint() 함수를 호출하여 100,000,000,000,000개의 RNBW를 생성하고 소유권을 공격자에게 이전하는 것입니다. 마지막으로 해커는 xRNBW로 교환했습니다.

2. Jumpn Finance 양탄자를 뽑아서 공격자의 주소로 약 115만 달러를 인출했습니다.

공격자(또는 팀)는 0xe156 계약의 0x6b1d9018() 함수를 호출하여 계약의 모든 사용자 자산을 추출하고 공격자의 주소에 저장합니다. 현재 도난당한 자금 중 2100 BNB($581,700)는 Tornado.Cash로 이체되었으며 나머지 2058 BNB($571,128)는 여전히 공격자의 주소에 저장되어 있습니다.

10월 11일

1. 유출된 프라이빗 키를 통해 QAN플랫폼 크로스체인 브릿지를 악용하여 약 189만 달러가 유출되었습니다.

먼저 해커는 주소(0x68e..)를 사용하여 BSC에서 전송을 시작한 다음 교차 체인 브리지 계약 BridgeQANX의 bridgeWithdraw 함수를 호출하여 1444169100 QANX 토큰을 지갑 주소(0xF163...)로 전송합니다. 1431880339개의 QANX 토큰에 대한 2차 공격도 실행되었습니다. 이 두 공격의 발신자 주소는 크로스체인 브릿지 컨트랙트(0x68e...)의 작성자와 동일하므로 이 공격은 개인 키의 유출로 인한 것일 수 있습니다.

2. Rabby Wallet 스왑 계약이 OpenZeppelin 주소 라이브러리를 통해 외부에서 토큰 교환 기능을 직접 호출하는 공격을 받았습니다. 해커들은 미화 190,000달러 이상을 벌었습니다.

RabbyRouter의 스왑 기능에 있는 이 외부 호출 취약성은 누구나 함수를 호출하기만 하면 자금을 이체할 수 있도록 쉽게 인증할 수 있습니다. 현재 공격자는 Ethereum, BSC 체인, Polygon, Avax, Fantom, Optimistic 및 Arbitrum을 포함하여 Rabby가 운영 중인 다양한 체인에 대한 공격을 시작했습니다.

3. TempleDAO는 미화 236만 달러 규모의 익스플로잇을 당했으며, 이는 전체 가치 락업(TVL)의 약 4%에 해당합니다.

StaxLPStaking 계약에 있는 TempleDAO의 migrateStake 기능에 권한 확인이 없습니다. 이를 통해 누구나 이 함수를 호출하여 계약에서 StaxLP를 인출할 수 있습니다. 악용에 성공한 후 해커는 획득한 모든 StaxLP 토큰을 ETH로 교환했습니다.

10월 12일

1. Journey of Awakening(ATK) 프로젝트가 플래시론 공격을 받았습니다.

ATK 프로젝트의 전략 계약은 플래시 론을 대상으로 하고 계약에서 많은 양의 ATK 토큰을 가져갔습니다. 그 후 공격자는 획득한 ATK 토큰을 모두 BSC-USD로 교환하고 BNB로 전환하여 Tornado Cash로 보냈으며 총 120,000달러에 달했습니다.

2. 솔라나 defi 거래 플랫폼인 Mango Markets가 네이티브 MNGO 토큰의 가격 조작을 통해 해킹을 당해 해커에게 1억 1,600만 달러의 손실을 입었습니다.

해커는 총 1,000만 USDT의 초기 자금이 있는 두 개의 계정을 사용했습니다.

첫 번째 단계에서 공격자는 500만 USDC를 Mango Markets에 예치했습니다.

두 번째 단계에서 공격자는 MNGO-PERP 시장에서 4억 8,300만 PlacePerpOrder2 포지션을 생성했습니다.

세 번째 단계에서는 MNGO의 가격을 $0.0382에서 $0.91로 조작했으며, 별도의 계정(계정 2)을 사용하여 포지션에 대해 반대 거래를 했습니다.

계정 2는 이제 4억 8,300만 달러 * ($0.91 - $0.03298) = 4억 2,300만 달러를 보유하고 있으며, 이를 통해 공격자는 1억 1,600만 달러를 빌릴 수 있습니다.

10월 13일

1. FTX는 가스 도난 취약점 악용으로 1억 개 이상의 XEN과 81 ETH를 잃습니다.

해커들은 FTX가 지불한 가스비를 사용하여 대량의 XEN TOKEN을 발행했습니다.

해커는 자신의 FTX 핫 월렛 주소를 사용하여 악의적인 계약 주소(0xCba9...7FD3)로 소량의 자금을 이체한 후 이 계약을 사용하여 일괄적으로 하위 계약을 생성했습니다.

전체 공격에서 많은 컨트랙트가 생성되고 하위 컨트랙트가 실행될 때마다 하위 컨트랙트가 자멸하게 되므로 아래 그림을 예시로 보여줍니다.

세 번째 단계에서 하위 계약의 fallback() 함수는 $XEN 계약에 대한 발행 요청을 시작합니다. claimRank() 함수(아래 이미지)는 발행을 위한 기간(>= 1일)을 통과하며, 관련된 다른 비용 없이 호출 가스 요금만 지불하면 됩니다.

claimMintRewardAndShare()함수는 클레임을 위한 것으로, 기간 도달 여부만 판단하면(이 경우 해커가 1일로 설정) 아무 주소로 무조건 철회가 가능합니다. 하지만 이 호출 과정에서 트랜잭션 개시자는 FTX 핫월렛 주소이므로 전체 호출 과정의 가스는 FTX 핫월렛 주소로 지불되고 $XEN 민트 주소는 공격자의 주소입니다.

위 데이터는 Beosin EagleEye Web3 Security Monitor에서 가져온 것입니다.