- Coinbase는 0x 스와퍼 계약에 대한 토큰 승인 허용으로 인해 30만 달러를 손실했습니다.
- 해당 사건은 Coinbase 사용자에게 영향을 미치지 않았지만, 거래소는 여전히 비판을 받았습니다.
- 보안 분석가들은 컴포저빌리티 공격을 온체인 위험의 새로운 유형으로 확인했습니다.
Coinbase는 0xProject 스와퍼 스마트 계약과 상호작용한 후 MEV 봇에게 누적 수수료 30만 달러를 손실했습니다. 익명의 보안 연구원 deebeez는 X에서 이를 공개하며 거래소가 스와퍼를 잘못 사용했다고 지적했습니다.
Deebeez에 따르면, 스왑 실행에 사용할 수 있는 0xProject 계약은 무허가입니다. 이는 누구나 제한 없이 어떤 작업도 실행할 수 있음을 의미합니다.
이러한 이유로 토큰 승인 수락에는 적합하지 않습니다. 그러나 Coinbase은 이를 인지하지 못한 것 같으며, DEXTools, Swell Network, MyOneProtocol, Amp, Data Lake, Ondo Finance, Destra Network 등의 프로토콜 토큰에 대한 승인을 시작하여 거래소가 계약을 승인하자마자 MEV 봇이 나타나 모든 자금을 흡수할 수 있도록 했습니다.
그는 말했습니다:
“MEV 봇이 어둠 속에서 사용자들이 이 계약에 실수로 승인하기를 기다리고 있다가 모든 자금을 흡수할 준비를 하고 있는 것 같습니다. 잘, 그들의 꿈은 coinbase 덕분에 이루어졌습니다.”
연구원은 이 사건을 Coinbase 팀에게 값비싼 교훈으로 묘사했으며, 팀 자체도 이를 인정했습니다. Coinbase 최고 보안 책임자 Philip Martin은 이 사건을 확인하며, 이는 회사 DEX 지갑 중 하나의 변경으로 인해 고립된 문제라고 덧붙였습니다.
그는 이 사건이 고객 자금에 영향을 미치지 않았으며, 팀이 이제 “토큰 허용을 취소하고 자금을 새로운 회사 지갑으로 이동하고 있다”고 덧붙였습니다.
한편, 일부 사용자는 메모풀이 암호화되었다면 이를 예방할 수 있었을 것이라고 제안했습니다. 그러나 Deebeez는 샌드위치 공격이 MEV 공격과 동일하지 않으며, 메모풀을 암호화하는 것은 샌드위치 공격만 방지할 수 있다고 지적했습니다.
사건, Coinbase에 대한 비판 추가
당연하게도 이 사건은 Coinbase 비판가들에게 또 다른 불만 포인트를 제공했지만, 거래소 사용자에게는 영향을 미치지 않았습니다. 일부 비판가들은 주요 거래소에서 이러한 실수가 우려스럽다고 지적했으며, 특히 몇 달 전에 최대 4억 달러의 비용이 들 수 있는 사이버 공격을 공개한 점을 고려하면 더욱 그렇습니다.
한편, X의 사용자들에 따르면 거래소는 최근 다운타임도 경험했으며, 적어도 두 사람이 Coinbase 계정에 접근할 수 없음을 보여주는 스크린샷을 공유했습니다. 일부 사용자는 솔라나 밈코인 USELESS을 자산 리스팅 로드맵에 추가한 것에 대해 거래소를 비판했습니다.
그럼에도 불구하고 Coinbase은 미국에서 가장 큰 거래소이며 CoinGecko에 따르면 전 세계적으로 9위를 차지하고 있으며 시장 점유율의 약 5.8%를 차지하고 있습니다. 이는 5.1%의 점유율을 가진 Crypto.com보다 위에 있으며, 여러 기타 해외 거래소들이 여전히 더 많은 거래량을 보고하고 있음에도 불구하고 말입니다.
보안 분석가, 컴포저빌리티 위험 식별
한편, 이번이 0x 지갑에서 자금이 유출된 첫 번째 사건은 아닙니다. 4월, Zora의 클레임 계약도 에어드롭을 통해 ZORA 토큰을 0x settler 계약에 할당하면서 영향을 받았습니다.
에어드롭 직후 공격자가 주소를 유출하고 할당량을 128,000달러 상당의 ETH로 스왑했습니다. 보안 연구firm BlockAid는 이 사건을 컴포저빌리티 공격으로 식별했습니다. 해당firm에 따르면, 이는 독립적으로 보안인 구성 요소가 상호작용할 때 취약한 조건을 생성할 수 있는 새로운 클래스의 온체인 위험입니다.
거래소는 다음과 같이 밝혔습니다.
“컴포저빌리티 공격은 두 개 이상의 독립적으로 보안인 시스템이 시스템 자체에 대한 취약성 없이도 착취 가능한 조건을 생성하는 예상치 못한 방식으로 상호작용할 때 발생합니다.”
이 경우 Zora 에어드롭 클레임 메커니즘과 0x Settler 계약이었습니다. Zora 메커니즘은 수신자가 클레임 함수를 통해 토큰을 클레임할 수 있도록 했습니다. 주소가 자격이 있는 한 외부 소유 계정(EOA)과 스마트 계약 간에 구별을 두지 않았습니다.
이것은 자격이 있는 누구나 에어드롭을 클레임할 수 있게 했지만, 0x Settler 계약 주소도 토큰을 받을 수 있음을 의미했습니다. Zora가 실수로 0x 생태계를 위한 토큰을 계약에 보냈을 때, 상호작용을 이해한 누구나 토큰을 클레임하기 쉬웠습니다.
이 글을 읽고 계신다면, 이미 앞서 나가고 있습니다. 뉴스레터로 그 위치를 유지하세요.
면책 조항. 제공된 정보는 투자 조언이 아닙니다. Cryptopolitan.com 본 페이지에 제공된 정보를 바탕으로 이루어진 투자에 대해 어떠한 책임도 지지 않습니다. 투자 결정을 내리기 전에 반드시 독립적인 조사나 자격을 갖춘 전문가의 상담을 강력히 권장합니다.
