임의 호출 취약점으로 인해 SwapNet 및 Aperture Finance 해킹으로 1,700만 달러 손실

블록체인 보안 기업 BlockSec은 두 개의 탈중앙화 금융(DeFi) 프로토콜을 공격한 사건에 대한 기술 분석을 발표했으며, 이로 인해 1,700만 달러 이상의 손실이 발생했다.

DEX 애그리게이터인 SwapNet은 이더리움, 아르비트럼, 베이스, 바이낸스 스마트 체인 전반에 걸쳐 1,340만 달러 이상의 손실을 입었고, 집중 유동성 포지션을 관리하는 Aperture Finance는 동시 발생하지만 무관한 사건으로 약 367만 달러의 손실을 입은 것으로 추정된다.

"피해 계약체는 불충분한 입력 검증으로 인해 임의 호출 기능이 노출되어, 공격자가 기존 토큰 승인을 남용하고 transferFrom을 호출하여 자산을 유출할 수 있었다.", BlockSec 은 X에서의 분석 요약에서 이렇게 밝혔다.

보안 기업은 말했다., "이러한 사건들은 계약 설계의 유연성이 엄격한 호출 제약 조건과 신중하게 균형을 이루어야 함을 상기시켜 준다. 특히 외부 검토가 제한된 오픈 소스 시스템에서 더욱 그렇다.",라고 덧붙였다.

SwapNet의 취약점 뒤에는 무엇이 있었는가?

SwapNet 사례에서 취약점은 중요한 입력에 대한 적절한 검증이 없는 함수 0x87395540()에서 비롯되었다. 

공격자는 예상되는 라우터 또는 풀 주소 대신 USDC와 같은 토큰 주소로 대체하여 피해 계약체가 토큰을 유효한 실행 대상으로 처리하도록 속였다. 

이로 인해 공격자가 제어하는 calldata로 저수준 호출이 실행되어, 피해 계약체가 공격자가 승인된 모든 자산을 유출할 수 있는 호출을 수행할 수 있게 되었다.

이 취약점은 Matcha Meta, DeFi 거래소 메타 애그리게이터의 사용자에게 영향을 미쳤다. 이들은 플랫폼의 '일회성 승인' 설정을 비활성화하고 SwapNet 계약체에 무제한 승인을 부여했다.

단일 사용자 중 가장 큰 손실은 한 사용자가 약 $13.34백만를 잃은 것이었다. 총 20명의 사용자가 영향을 받았다. 공격은 블록 41289829에서 베이스에서 시작되었으며, 이는 초기 악용이 감지된 지 45분 후에 SwapNet이 베이스의 계약체를 일시 중단하도록 했다. 또한 얼마 후 다른 체인의 계약체도 일시 중단되었지만, 그 동안 3개의 체인에서 추가로 13명의 사용자가 영향을 받았다.

Aperture Finance에도 유사한 약점이 존재

사용자를 대신해 Uniswap V3 유동성 포지션을 관리하는 Aperture Finance는 함수 0x67b34120()에서 동일한 유형의 취약점에 희생되었다. 

이 함수가 호출되면, 내부 함수 0x1d33()이 호출 대상이나 함수 선택자에 대한 엄격한 제약을 적용하지 않고 사용자가 제공한 calldata를 사용하여 저수준 호출을 실행했다.

이로 인해 공격자는 ERC-20 토큰을 유출하고 Uniswap V3 포지션 NFT에 대한 승인을 수행하는 악성 calldata를 구성할 수 있었다.

'즉시 유동성 관리' 기능에 대한 승인을 부여한 사용자가 이 공격의 위험에 노출되었다.

이더리움에서의 대표적인 공격 사례에서 공격자는 100 wei의 ETH로만 취약한 함수를 호출하는 계약체를 생성했다. 네이티브 토큰을 WETH로 래핑한 후, WBTC.transferFrom()에 대한 악성 호출이 실행되어 공격자는 자신의 스왑 출력 값을 지정하여 잔액 검사를 통과하면서 승인된 토큰을 유출할 수 있었다.

피해 플랫폼들은 어떤 변화를 모색하고 있는가? 

이 사건들은 두 프로토콜 모두 보안 접근 방식을 재평가하도록 자극했다. 먼저 두 프로토콜은 Revoke.cash와 같은 도구를 사용하여 사용자들이 승인을 취소하도록 요청했다. 

Matcha Meta는 사용자가 일회성 승인을 비활성화할 수 있는 토글을 비활성화했다고 밝혔다. 또한 당분간 플랫폼에서 SwapNet을 제거했으며, "보안보다 사용자 지정성을 우선시하는 태도는 앞으로 허용하지 않을 것이다.",라고 밝혔다.

Aperture Finance는 모든 영향 받은 웹 애플리케이션 기능을 비활성화했다고 밝혔다. 복구 노력과 관련하여, "저희는 최상위 포렌식 보안 기업과 긴밀히 협력하고 있으며, 자금 추적을 위해 법집행 기관과 조정하고 있다.",라고 덧붙이며 자금 반환을 협상할 채널도 마련 중이라고 밝혔다.