- AI 에이전트가 너무 고도화되어, 비전문가도 이제 DeFi 취약점을 자율적으로 식별하고 작동하는 코드를 작성할 수 있게 되었다.
- 48 시간 동안 이더리움에서 발생한 4 건의 스마트 컨트랙트 공격으로 150 만 달러 이상이 유출되었습니다.
- ZetaChain 프로토콜은 버그 보고서를 무시한 후 정교하고 사전 계획된 공격으로 333,868 달러를 손실했습니다.
150만 달러 이상의 손실을 초래한 이더리움 메인넷 일련의 공격은 인공지능(AI) 에이전트가 이제 탈중앙화 금융(DeFi) 프로토콜의 취약점을 자율적으로 발견하고 악용할 수 있음을 보여주는 새로운 연구로 인해 악화되었다.
보안 기업 GoPlus Security는 4월 29일로 끝나는 48시간 동안 네 개의 별도 계약이 악용되었다고 보고했다. 해당 기업은 AI를 무기로 갖춘 해커들이 그 어느 때보다 정밀하고 빠르게 변하고 있다고 경고했다.
그리고 DeFi 스마트 계약 개발자들은 AI 자체가 시작한 문제를 해결하기 위해 AI 외에는 다른 선택지가 없다.
AI가 정말로 혼자서 DeFi를 해킹할 수 있는가?
a16z 크립토 20건의 과거 이더리움 가격 조작 사건에 대해 상용 AI 코딩 에이전트를 테스트한 결과, 계약 주소와 기본 도구만 제공되었을 때 AI가 취약점을 악용하는 데 성공한 비율은 10%에 불과했다.
그러나 연구원들이 에이전트에게 뱅크 기부 악용이나 자동화 시장 제공자(AMM) 풀 조작과 같은 일반적인 공격 패턴에 대한 구조화된 지식에 접근하도록 했을 때, 성공률은 70%로 급증했다.
연구원들은 AI가 버그를 찾는 데 매우 능숙하지만 때로는 복잡하고 다단계 공격에서는 어려움을 겪는다고 지적했다. 한 에이전트는 심지어 미래 블록 데이터를 보기 위해 비밀 키를 추출하여 테스트 환경을 '탈출'하려고 시도하기도 했다.
Anthropic은 최근 발표 'Claude Mythos Preview'라는 새로운 AI 모델을 출시했다. 해당 회사는 이 모델이 주요 운영 체제와 웹 브라우저 전반에서 제로데이 취약점을 자율적으로 발견하고 작동하는 악용 코드를 작성할 수 있다고 밝혔다.
이전 Mythos Preview모델들은 악용 코드를 작성하는 데 있어 '거의 0%의 성공률'을 보였다. 해당 회사는 또한 취약점을 패치하는 데 도움이 되는 동일한 개선 사항이 악용하는 데에도 효과적임을 확인했다.
에테르스캔(Etherscan)의 트랜잭션 API에 접근할 수 있게 되었을 때, 에이전트는 실제 과거 공격 트랜잭션을 발견하고 이를 역공학하여 자체 악용 코드를 작성했다.
ZetaChain 해킹으로 인한 손실액은 얼마였는가?
GoPlus Security 4월 29일로 끝나는 48시간 동안 이더리움 메인넷에서 네 개의 별도 스마트 계약 악용을 발견했다. 합산 손실액은 150만 달러를 초과했다. 해당 기업은 현재 AI 지원 공격의 속도를 '초 단위 카운트다운 시대'라고 묘사했다.
이번 주 대규모 사건 중 하나에서 이더리움, 아비트럼, 베이스, BSC를 포함한 네 개의 체인에서 9건의 트랜잭션을 통해 약 333,868달러가 유출되었다. ZetaChain의 공식 포스트모템 보고서 에 따르면 사용자 자금은 손실되지 않았으며, 영향을 받은 세 지갑은 ZetaChain 팀의 것이었다.
공격자는 '임의 호출' 기능을 사용하여 GatewayEVM 계약의 기능을 악용했다. 게이트웨이는 엄격한 블랙리스트가 부족해 해커가 팀 지갑이 설정한 토큰 허용량을 이체하도록 지시할 수 있었다.
해커는 공격 사흘 전 토렌도 캐시를 통해 지갑에 자금을 공급하면서 피해자 지갑을 모방했다.
ZetaChain 은 해당 취약점이 이미 버그 바운티 프로그램을 통해 보고되었으나 초기 보고서는 기각되었다고 인정했다. 해당 프로토콜은 이제 크로스체인 트랜잭션을 일시 중단하고 위험한 코드를 비활성화하기 위한 패치를 배포 중이다.
과거 48시간 동안 GoPlus Security가 식별한 기타 이더리움 악용 사례로는 접근 제어 누락으로 약 983,000달러를 손실한 온체인 애그리게이터 계약, 권한 확인 누락으로 인해 TradingProtocol과 연결된 승인되지 않은 제3자 뱅크가 약 398,000달러를 손실한 사례, 재진입 취약점으로 인해 약 39,800달러를 손실한 BCB 계약, 임의 호출 취약점으로 인해 약 124,900달러를 손실한 QNT 자산 계약 등이 포함된다.
Cryptopolitan은 4월 alone의 DeFi 손실이 기록적인 수준에 도달했으며, 이는 올해 첫 세 달의 합계 통계를 초과했다고 보고했다. 최근 사례에서 손실이 누적됨에 따라 해커와 개발자가 AI로 AI와 싸우는 거대한 대결이 펼쳐지고 있다. Anthropic의 Mythos와 다른 모델들이 이제 논의에 참여하면서, AI가 해커들에게 무기를 제공하고 있으며 개발자들은 자신을 방어하기 위해 AI를 사용할 수밖에 없는 상황이 되어가고 있다.
AI 에이전트는 비전문가도 자율적으로 DeFi 악용을 식별하고 작동하는 코드를 작성할 수 있을 정도로 매우 진보했다.
가장 똑똑한 암호화폐 전문가들이 이미 우리 뉴스레터를 구독하고 있습니다. 참여하고 싶으신가요? 함께하세요.
자주 묻는 질문
해커들은 어떻게 AI 를 활용하여 DeFi 스마트 컨트랙트를 악용하고 있나요?
a16z 의 암호학 연구에 따르면, 계약 주소와 표준 개발 도구만 제공받은 범용 AI 코딩 에이전트는 가격 조작 취약점을 독립적으로 식별하고 작동하는 악용 코드를 작성할 수 있으며, 도메인 지식이 없더라도 테스트 사례의 10% 에서 성공합니다.
ZetaChain 악용 사건으로 인한 손실액은 얼마인가요?
ZetaChain 의 사후 분석 보고서에 따르면 약 333,868 달러가 이더리움, 아비트럼, 베이스, BSC 등 4 개 블록체인에서 총 9 건의 트랜잭션을 통해 유출되었으나, 영향을 받은 세 개의 지갑이 모두 ZetaChain 소유였으므로 외부 사용자 자금은 손실되지 않았습니다.
Anthropic 의 프로젝트 글래스윙(Project Glasswing) 은 무엇인가요?
프로젝트 글래스윙은 앤스로픽이 방어적 보안 목적으로 핵심 인프라 파트너 및 오픈소스 개발자에게 Mythos 프리뷰 모델에 대한 조기 접근을 제공하는 이니셔티브로, 유사한 악용 능력을 갖춘 모델이 광범위하게 출시되기 전에 수비자가 주요 시스템을 보호할 수 있도록 하는 것을 목표로 합니다.
면책 조항. 제공된 정보는 투자 조언이 아닙니다. Cryptopolitan.com 본 페이지에 제공된 정보를 바탕으로 이루어진 투자에 대해 어떠한 책임도 지지 않습니다. 투자 결정을 내리기 전에 반드시 독립적인 조사나 자격을 갖춘 전문가의 상담을 강력히 권장합니다.
한나 콜리모어
한나는 암호화폐 분야에서 거의 10년 간의 블로그 작성 및 이벤트 리포팅 경험을 가진 작가이자 편집자입니다. 크립토폴리탄에서 한나는 뉴스 페이지에 기여하며 DeFi, RWA, 암호화폐 규제, AI 및 프론티어 테크 산업의 최신 동향을 보도하고 분석합니다. 그녀는 아카디아 대학교에서 경영학 학위를 취득했습니다.
