해커가 검증되지 않은trac을 이용해 CUT 토큰 풀에서 140만 달러를 빼돌렸습니다

블록체인 분석 및 보안 플랫폼인 CertiK에 따르면, 공격자의 계정이 해독 불가능한 기능을 이용하여 LP 토큰을 소각하지 않고 140만 달러 상당의 BSC-USD를 이체했습니다. CertiK는 해당 BSC-USD가 9월 10일 CUT 토큰을 보유한 유동성 풀에서 유출되었다고 밝혔습니다.

CertiK는 CUT 토큰trac이 "미래 수익률 매개변수"를 설정하기 위해 검증되지 않은 별도trac에 의존했으며, 이로 인해 네 건의 별도 거래에서 알 수 없는 방식으로 BSC-USD가trac되었다고 주장했습니다. CertiK에 따르면, 악용된 CUT 토큰은 동일한 티커 심볼을 사용하지만 바이 Binance 스마트 체인에서 "36a7"로 끝나는 다른 주소에 위치한 Crypto Unit 프로젝트의 토큰과는 달랐습니다. CertiK의 조사 결과에 따르면, 영향을 받은 거래쌍은 "0x83681F67069A154815a0c6C2C97e2dAca6eD3249"였습니다.  

CUT 토큰을 이용한 취약점 공격으로 140만 달러 이상의 손실 발생

#CertiKinsight 🚨

CUT 토큰을 이용한 플래시론 악용 사례를 확인했습니다

BSC: 0x7057F3b0F4D0649B428F0D8378A8a0E7D21d36a7

CUT 계약은tractractractractractractractractractractractractractractractractractAddress)를 사용하며, 여기에는 다음 내용이 포함되어 있습니다… pic.twitter.com/ycE4Px3Nxy

— CertiK Alert (@CertiKAlert) 2024년 9월 10일

CertiK는 검증되지 않고 숨겨진 기능을 포함하는 "ILPFutureYieldContract(_lpFutureYieldContractAddress) at 0x0917914b0A70ee7F1f2460Fcd487696856E31154" 주소를 이용한 CUT 토큰trac관련 플래시론 취약점을 발견했습니다. 암호화폐 보안 플랫폼 CertiK는 공격자가 FutureYield를 사용하여 CUT 토큰을 조작해 BUSD-CUTcake 페어에서 약 140만 달러를 획득했다고 확인했습니다. CertiK는 해당 자금이 현재 "0x5766d1F03378f50c7c981c014Ed5e5A8124f38A4" 주소에 보관되어 있다고 밝혔습니다

Certik은 자금이 유출된 풀이 팬케이크cakecakecakecakecakecakecakecakecake풀에는 영향이 없었다고 밝혔습니다. 블록체인 데이터에 따르면 공격자는 BSC-USD 풀에서 1,448,974달러를 인출하기 위해 네 번의 별도 거래를 수행했습니다. Certik은 공격자가 해당 풀에 입금을 하지 않았고 유동성 공급자 토큰도 보유하지 않았기 때문에 불법 거래에 대한 경고를 받았다고 주장했습니다. 

CertiK의 보고서에 따르면 공격자는 토큰trac에 존재하지 않는 "0x7a50b2b8" 함수를 호출했습니다. 보고서는 공격자가 "trac()" 함수를 호출하여 주소 끝자리가 "1154"인 완전히 별개의 검증되지 않은trac에서 다른 함수를 호출할 수 있도록 허용했으며, 해당 계약은 읽을 수 없는 바이트코드만 표시한다고 밝혔습니다. 이 공격으로 인해 CUT 유동성 공급자들은 총 140만 달러의 손실을 입었습니다.

2024년 암호화폐 해킹 증가세 지속, 8월 한 달간 피해액 3억 1천만 달러 돌파

CertiK의 데이터 따르면 2024년 8월 한 달 동안 해킹, 사기, 악용 등으로 인해 3억 1천만 달러 이상의 손실이 발생했습니다. 이는 2024년 한 해 동안 발생한 월별 손실액 중 두 번째로 높은 수치입니다. 데이터에 따르면, 약 80만 달러는 먹튀 사기, 약 120만 달러는 플래시론, 그리고 3억 880만 달러는 악용으로 인한 손실이며, 이 중 1,030만 달러만이 회수되었습니다. 

CertiK의 데이터에 따르면 피싱 공격으로 인한 총 손실액은 2억 9,300만 달러에 달했습니다. 특히 8월에 발생한 주요 플래시론 공격으로 Vow(120만 달러), MintStakeShare(3만 3,500달러), Satoshi(5,000달러) 토큰에서 손실이 발생했으며, 먹튀 사기로 인한 손실은 Grimace 토큰(64만 9,000달러), Sigma(13만 6,000달러), Mbappe 토큰(8만 8,000달러)에서 발생했습니다. 8월에 발생한 주요 해킹 공격으로는 Ronin Network(1,180만 달러), Nexera(44만 8,800달러), Convergence(21만 달러), iVest DAO(17만 2,000달러), AAVE Periphery Ctr(6만 4,000달러) 등이 있습니다.

Immunefi는 2024년에 암호화폐 해킹으로 인한 손실액이 12억 달러를 넘어섰으며, 이는 2023년 같은 기간에 비해 15.5% 증가한 수치라고 밝혔습니다.