로그인/ 가입하기

EraLend 익스플로잇: 해커가 zkSync 대출 프로토콜에서 340만 달러를 훔칩니다.

2023/07/26 11:30

따르다

zkSync Layer 2에서 작동하는 분산형 대출 프로토콜인 EraLend가 익스플로잇의 희생양이 되어 340만 달러의 손실을 입었습니다. 공격은확인 이 문제를 해결하기 위해 프로토콜을 지원해 온 BlockSec의 보안 분석가에 의해

공격 후 EraLend는성명 보안 사고를 인정하고 사용자에게 위협이 억제되었음을 확인합니다. 프로토콜은 모든 차용 작업을 중단했으며 추후 공지가 있을 때까지 사용자에게 USDC를 입금하지 말라고 권고했습니다.

재진입 공격, EraLend 공격

BlockSec에 따르면 공격은 읽기 전용 재진입 공격이었습니다. 이 공격은 계약의 상태를 조작하고 자금을 인출하기 위해 계약 기능에 반복적으로 들어가고 나가는 악의적인 행위자와 관련이 있습니다.

재진입 공격은 이더리움과 같은 분산형 블록체인 네트워크에서 실행되는 자체 실행 컴퓨터 프로그램인 스마트 계약에서 발생할 수 있는 악용입니다.

재진입 공격에서 악의적인 사용자는 이전 함수 호출이 완료되기 전에 계약 내의 함수를 반복적으로 호출하여 스마트 계약의 취약성을 악용하여 계약의 상태를 조작하고 잠재적으로 자금을 훔칠 수 있습니다.

스마트 계약 기능이 호출되면 기능 호출이 완료되기 전에 계약 상태가 업데이트됩니다. 첫 번째 함수 호출이 완료되기 전에 호출된 함수가 두 번째 계약과 상호 작용한다고 가정합니다. 이 경우 두 번째 계약은 첫 번째 계약의 기능을 다시 호출할 수 있으므로 원래 기능 호출이 완료되기 전에 계약의 상태가 여러 번 변경될 수 있습니다.

이를 통해 공격자는 계약 상태를 조작하고 자금을 훔칠 수 있습니다.

재진입 공격을 방지하기 위해 개발자는 "checks-effects-interactions"라는 기술을 사용할 수 있습니다. 즉, 스마트 계약은 상태 변경을 실행하기 전에 항상 모든 입력과 조건을 확인한 다음 다른 계약과 상호 작용하기 전에 모든 상태 변경을 실행해야 합니다.

이렇게 하면 외부 상호 작용이 발생하기 전에 계약 상태가 업데이트되어 재진입 공격을 방지할 수 있습니다. 이 경우 공격자는 EraLend 계약 코드의 취약점을 악용하여 프로토콜에 대한 지식 없이 반복적으로 자금을 인출할 수 있었습니다.

EraLend는 공격의 근본 원인을 파악하고 문제를 해결하기 위해 파트너 및 사이버 보안 회사와 협력하고 있습니다. 이 프로토콜은 사용자에게 공격의 영향을 완화하고 향후 유사한 사고가 발생하지 않도록 필요한 모든 조치를 취할 것이라고 확신했습니다.

추가 업데이트는 없지만 EraLend가 최고의 보안 표준을 유지하고 사용자의 자금과 데이터를 보호하기 위한 사전 조치를 취하는 데 전념하고 있음이 분명합니다.