메타마스크의 간단한 서명이 지갑을 비울 수 있다는 것을 알고 계신가요?
— 코르피 (@korpi87) 19월 2022일
매우 숙련된 사용자(데겐 점수 상위 10위)가 오늘 익스플로잇으로 거의 50만 USDC를 잃었습니다.
다음 차례는 당신일 수도 있습니다…
어떻게 발생했는지, 그리고 향후 이러한 익스플로잇을 어떻게 피할 수 있는지에 대한 짧은 스레드입니다.
조(이름 변경)가 469,000 USDC가 지갑에서 빠져나가는 것을 발견한 조용한 오후였습니다.
— 코르피 (@korpi87) 19월 2022일
단순한 전송이 아니었으며, 이는 공격자가 조의 지갑에 접근할 수 없었음을 의미합니다.
악성 계약이 그의 주소에서 모든 USDC를 탈취했습니다… pic.twitter.com/pTgTjfMMeu
여기서는 몇 가지 기술적 사항을 설명하기 위해 이야기를 잠시 멈춰야 합니다.
— 코르피 (@korpi87) 19월 2022일
USDC 토큰은 이더리움의 계약입니다. 이 계약은 우리가 USDC와 상호작용하는 방법과 이를 통해 수행할 수 있는 작업을 정의하는 많은 함수를 가지고 있습니다.
두 가지 함수에 초점을 맞춰 보겠습니다.
> transfer
> transferFrom pic.twitter.com/gekVmjmwvW
> transfer
— 코르피 (@korpi87) 19월 2022일
지갑 간 USDC(또는 기타 ERC20 토큰)를 이동할 때 transfer 함수를 사용합니다.
이 함수는 호출자(함수를 호출하는 주소)의 토큰을 다른 주소로 이동시킵니다.
transfer를 악의적으로 귀하의 대리인으로 사용하려면 누군가가 귀하의 지갑을 통제해야 합니다. pic.twitter.com/3Z3pYbBnRq
> transferFrom
— 코르피 (@korpi87) 19월 2022일
계약과 상호작용할 때, 그들은 transferFrom을 사용하여 귀하의 토큰을 이동시킵니다. 그들은 approve 함수에서 설정한 허용량까지 토큰을 가져갈 수 있습니다.
계약이 무제한의 USDC를 사용할 수 있도록 허용하면, 그들은 모든 USDC를 가져갈 수 있습니다.https://t.co/QdUgLuZfZH
조 이야기로 돌아가서…
— 코르피 (@korpi87) 19월 2022일
조가 USDC를 모두 잃게 만든 aforementioned 계약 상호작용은 실제로 transferFrom 함수였습니다.
하지만 transferFrom은 조가 계약에게 그의 USDC를 사용할 수 있도록 승인했을 때만 작동합니다.
그리고 조는 100% 확신하며 자신이 아무것도 승인하지 않았다고 생각했습니다… pic.twitter.com/HH9xxYeQms
잠깐만요…
— 코르피 (@korpi87) 19월 2022일
DeBank 기록은 익스플로잇 10분 전에 악성 계약에 대한 무제한 USDC 승인이 명확하게 표시됩니다…
조가 실제로 그것을 승인했나요?
네. 하지만 또한 아니요. 직접적으로가 아닙니다. pic.twitter.com/AqQQs7GZAV
이더스캔(Etherscan)에 따르면 무제한 승인은 조 본인이 호출한 approve 함수가 아니었습니다.
— 코르피 (@korpi87) 19월 2022일
다른 주소에서 호출한 permit 함수였으며, 이 함수는 악성 계약이 조의 모든 USDC를 사용할 수 있는 권한을 부여받았습니다.
무슨 말인가요? 어떻게 다른 사람이 귀하의 대리인으로 계약을 승인할 수 있나요? pic.twitter.com/TS3iDbhOXu
permit 함수는 이더리움에서 사용자 경험을 개선하기 위해 도입되었습니다.
— 코르피 (@korpi87) 19월 2022일
이 함수는 사용자가 트랜잭션을 제출하지 않고도 승인 금액을 수정할 수 있게 합니다. 서명만으로도 충분합니다.
귀하의 서명으로 누구나 permit 함수를 호출하여 지출자에 대한 귀하의 허용량을 업데이트할 수 있습니다. pic.twitter.com/hem0lPsnW1
1inch dApp을 사용할 때 permit의 실제 모습을 볼 수 있습니다.
— 코르피 (@korpi87) 19월 2022일
USDC를 판매하려면 먼저 승인할 필요가 없습니다.
필요한 것은 메시지를 서명하는 것뿐입니다.
이 서명은 1inch가 당신의 모든 USDC를 사용할 수 있도록 허가합니다. 1inch는 그렇게 하지 않겠지만 악성 계약은 그럴 수 있습니다. pic.twitter.com/Dd7ggJFWtl
조는 악성 웹사이트에서 그러한 메시지를 실수로 서명했을 것입니다.
— 코르피 (@korpi87) 19월 2022일
불행히도 이번에는 핫 월렛을 사용했으며 서명은 단지 무해해 보이는 한 번의 클릭이었습니다.
하드웨어 월렛을 사용했다면 외부 장치에서 메시지를 서명할 때 잠시 고민하는 시간이 있었을 것입니다.
조가 서명한 후, 악의적인 행위자가 permit 함수를 사용하여 트랜잭션을 제출했습니다.
이로 인해 악성 계약은 조의 지갑에서 모든 USDC를 사용할 수 있는 권한을 얻었습니다.
그런 다음 transferFrom 함수가 호출되었고 악성 계약이 자금을 탈취했습니다. pic.twitter.com/1U6lWr9pmw— 코르피 (@korpi87) 19월 2022일
명백히 서명은 재앙적일 수 있습니다.
— 코르피 (@korpi87) 19월 2022일
어떤 경우에는 메타마스크가 메시지를 서명하는 것이 위험할 수 있다고 경고합니다.
하지만 기술적으로는 설계대로 작동하지만 오용될 경우 큰 피해를 줄 수 있는 서명된 승인에는 해당되지 않습니다.https://t.co/5H9rNWVR3b
향후 유사한 익스플로잇을 피하는 방법은 무엇인가요?
— 코르피 (@korpi87) 19월 2022일
– 메타마스크(Metamask)에서 모든 것에 서명하지 마세요.
– 서명하는 내용을 이해하는 데 시간을 할애하십시오.
– 전통적인 승인에 주의하십시오(링크된 스레드 참조)https://t.co/549NmPly5s
이 스레드가 도움이 되었기를 바랍니다.
— 코르피 (@korpi87) 19월 2022일
저를 팔로우하세요 @korpi87 그리고 제 노션을 확인하세요: https://t.co/ZTqYKmhCNk 더 많은 정보를 위해.
유사한 익스플로잇으로부터 다른 사람들을 보호하기 위해 아래 첫 번째 트윗을 좋아요/리트윗하세요: https://t.co/9pqCSXi9JH
#이더리움의 문제는 탈중앙화, 보안 및 탄력성보다 토크노믹스를 지속적으로 최적화하는 데서 비롯됩니다. 머지(Merge)와 POS는 중앙화 거래소 및 스테이킹 플랫폼에 의한 완전한 규제 포획으로 이어질 것 같으며, 그들에게는 탈출구가 없습니다. 🧵👇 pic.twitter.com/Ur9tf42K5p
— 샘슨 모우 (@Excellion) 19월 2022일
그들이 어떻게 여기까지 왔을까요? 프로토콜의 일부로 스테이킹하기 위해 32 ETH 요구 사항을 결정하는 것(공급을 잠그고 토크노믹스를 극대화하기 위해). 이는 거의 가능한 한 중앙화된 POS를 만들었고, 더구나 그들은 #비트코인의 '내 키가 아니면 내 코인이 아니다'라는 문화를 가지고 있지 않습니다. pic.twitter.com/Ml4QV93ECP
— 샘슨 모우 (@Excellion) 19월 2022일
이제 OFAC 규정을 준수해야 하는 66%의 검증자가 있습니다. 그리고 스테이킹하기 위해 예치한 ETH는 토크노믹스 때문에 코딩되지 않은 인출 기능을 추출할 수 없습니다. 📈 pic.twitter.com/BdjFqYk70J
— 샘슨 모우 (@Excellion) 19월 2022일
하지만 기다려보세요! 이더리안들은 비트코인 막시스트들처럼 #UASF를 할 수 있지 않나요? 코인베이스가 누구에게 우월한지 확실히 보여주겠습니다! pic.twitter.com/LBSRDOF79o
— 샘슨 모우 (@Excellion) 19월 2022일
아니요. 첫째, 이더리안들은 자체 노드를 실행하지 않으며 둘째, 대부분의 서비스는 Infura에 의존하지만 이것이 주요 문제는 아닙니다. pic.twitter.com/8rI1FsDwuU
— 샘슨 모우 (@Excellion) 19월 2022일
다음 부분을 시작하기 전에, 코드를 작성한 개발자를 체포하는 것은 끔찍하며 나쁜 선례를 남긴다고 말하고 싶습니다. 그럼에도 불구하고…
— 샘슨 모우 (@Excellion) 19월 2022일
'OFAC 제재 거래의 검열 방지'라고 말하는 또 다른 방법은 '제재 회피를 돕는 것'일 수 있습니다. 아마도 버질에 대해 잊었을 것입니다. 어쨌든, 누가 평양을 코딩할 것인가? 토렌도 코시 guy가 체포되었으므로 평양 개발자들도 체포될 가능성이 높습니다. pic.twitter.com/HQNtkyTQkg
— 샘슨 모우 (@Excellion) 19월 2022일
평양을 누가 운영할까요? “X 🏴”로 신호를 보내는 사람들이요? 그들이 자신의 평양 노드를 자신의 .eth 계정에도 연결할까요? 코인베이스, 크라켄, 비트코인 스위스 및 기타 66% 과반수를 차지하는 기업들은 확실히 평양을 운영하지 않습니다.
— 샘슨 모우 (@Excellion) 19월 2022일
좋아요, 이제 이더리움 #UASF 는 배제되었습니다.
— 샘슨 모우 (@Excellion) 19월 2022일
“하지만 그들이 감히 준수한다면 코인베이스와 다른 사람들을 슬래싱할 수 있습니다!” pic.twitter.com/rmlgn8Cb2Y
나는 Pathetic Bitcoin Maxi™일 수 있지만, 10분간 조사한 결과 코인베이스를 슬래싱할 메커니즘이 없다는 것을 발견했습니다. 트랜잭션을 검열한 사람을 감지하고 처벌할 코드가 없습니다. 슬래싱 메커니즘은 다운타임이나 이중 서명을 처벌하는 데에만 작동합니다.
— 샘슨 모우 (@Excellion) 19월 2022일
그래서 우리는 다시 평양 포크가 필요하게 되었는데, 이를 코딩하거나 실행할 사람은 아무도 없습니다. 설령 평양이 존재할 수 있다 하더라도, 사용자가 ETH를 인출할 방법이 없습니다. 그리고 설령 인출할 수 있다 하더라도 의미가 없습니다. 왜냐하면 오직 Infura만이 중요하기 때문입니다. pic.twitter.com/RQ44BWUqzE
— 샘슨 모우 (@Excellion) 19월 2022일
모든 별이 마법적으로 정렬되어 이더리움 사용자가 코인베이스 등을 슬래싱할 수 있는 방법이 있다고 가정해 봅시다. 그렇다면 그것은 무엇을 의미할까요? 그것은 소수 지분 보유자가 다수를 임의로 처벌할 수 있는 메커니즘을 갖게 된다는 것을 의미합니다. 이는 장기적으로 작동하지 않을 것입니다.
— 샘슨 모우 (@Excellion) 19월 2022일
이것이 우리가 #이더리움을 #shitcoin이라고 부르는 이유입니다. 이는 무의미한 노력이며, 끔찍한 설계 선택으로 가득 차 있고, 오직 토큰 가격을 부풀리기 위해 설계되었습니다. pic.twitter.com/irYDrzJcOO
— 샘슨 모우 (@Excellion) 19월 2022일
가장 똑똑한 암호화폐 전문가들이 이미 우리 뉴스레터를 구독하고 있습니다. 참여하고 싶으신가요? 함께하세요.
이비아м 와야스
이비암 와야스는 2019 년부터 암호화폐 뉴스 분야를 취재해 왔습니다. 그는 나이지리아 국립오픈대학교에서 컴퓨터공학을 전공했으며, 코인포마니아, 암호화폐 뉴스 오스트레일리아, 알코인버즈 등 다양한 암호화폐 뉴스 플랫폼에 기고했습니다. 컴퓨터공학 배경을 바탕으로 현재 암호화폐, 로봇공학, 장수 관련 뉴스를 집중적으로 다루고 있습니다.
