코인베이스, 0xProject 스와퍼 관리 부실로 인한 MEV 봇 공격으로 30만 달러 손실 발생

코인베이스는 0xProject 스와퍼 스마트trac을 이용한 후 MEV 봇에게 누적 수수료 30만 달러를 손실했습니다. 익명의 보안 연구원 deebeez는 X 포럼에서 이 사실을 공개하며, 코인베이스가 스와퍼를 잘못 사용했다고 지적했습니다.

디비즈에 따르면 스왑 실행에 사용될 수 있는 0xProjecttrac은 허가 없이 사용할 수 있습니다. 즉, 누구나 아무런 제약 없이 어떤 작업이든 실행할 수 있다는 뜻입니다.

이러한 이유로 MEV는 토큰 승인을 받기에 적합하지 않습니다. 그러나 코인베이스는 직후 자금을 모두 빼돌리는 사태가 발생했습니다trac.

그는 이렇게 말했다:

"MEV 봇이 어둠 속에 숨어 사용자들이 실수로 이trac에 동의하기를 기다렸다가 자금을 모두 빼돌리려 했던 것 같습니다. 코인베이스 덕분에 그들의 꿈이 이루어졌네요."

연구원은 이번dent 을 코인베이스 팀에게 값비싼 교훈이 되었다고 표현했으며, 코인베이스 팀 자체도 이를 인정했습니다. 코인베이스 최고 보안 책임자 필립 마틴은 이번dent 이 자사 기업용 탈중앙화 거래소(DEX) 지갑 중 하나에 대한 변경으로 인해 발생한 개별적인 문제라고 확인했습니다.

그는 이번dent 고객 자금에는 아무런 영향이 없었으며, 팀은 현재 "토큰 할당량을 취소하고 자금을 새로운 회사 지갑으로 이체하고 있다"고 덧붙였습니다

한편, 일부 사용자들은 멤풀이 암호화되어 있었다면 이러한 사태를 예방할 수 있었을 것이라고 주장했습니다. 그러나 디비즈는 샌드위치 공격이 MEV 공격과dent하지 않으며, 멤풀 암호화는 샌드위치 공격만 방지할 수 있다고 지적했습니다.

이번dent 코인베이스에 대한 비판에 또 다른 빌미를 제공했습니다

예상대로 이번dent 코인베이스 비판론자들에게 또 다른 불편을 야기했지만, 거래소 사용자들에게 직접적인 영향은 미치지 않았습니다. 일부 비평가들은 대형 거래소에서 이러한 실수가 발생한 것은 우려스럽다고 지적했는데, 특히 사이버 공격 사실을 몇 달 전 최대 4억 달러의 손실을 초래할 수 있는

한편, X 플랫폼 사용자들에 따르면 해당 거래소도 최근 시스템 장애를 겪었으며, 최소 두 명이 코인베이스 계정에 접속할 수 없었다는 스크린샷을 공유했습니다. 일부 사용자들은 코인베이스가 자산 상장 로드맵에 Solana )라는 밈코인을 추가한 것을 비판했습니다.

그럼에도 불구하고, 코인베이스는 여전히 미국 최대 거래소이며 코인게코에 따르면 전 세계적으로 약 5.8%의 시장 점유율로 9위를 차지하고 있습니다. 이는 여러 해외 거래소의 거래량이 증가하고 있음에도 불구하고 5.1%의 점유율을 기록한 크립토닷컴보다 높은 수치입니다.

보안 분석가는 구성 가능성 위험을dent

한편, 0x 지갑에서 자금이 유출된 것은 이번이 처음이 아닙니다. 지난 4월에도 Zora의 청구 계약tractractractractractractractractrac통해 에어드롭을.

에어드롭 직후 공격자가 해당 주소의 자금을 빼돌리고 할당된 자금을 12만 8천 달러 상당의 이더리움(ETH)으로 교환했습니다. 보안 연구 회사인 블록에이드(BlockAid)는 이dent 구성 가능성 공격(Composability Attack)으로dent했습니다. 이 회사에 따르면, 이는dent으로 안전한 구성 요소들이 상호 작용할 때 취약한 상황을 만들어낼 수 있는 새로운 유형의 온체인 위험입니다.

거기에는 이렇게 적혀 있었습니다:

"구성 가능성 공격은 두 개 이상의dent으로 안전한 시스템이 예상치 못한 방식으로 상호 작용하여 시스템 자체의 취약점 없이도 악용 가능한 상황을 만들어낼 때 발생합니다."

이 경우, 조라(Zora) 에어드롭 청구 메커니즘과 0x Settlertrac이 관련되었습니다. 조라 메커니즘은 수신자가 청구 기능을 통해 토큰을 청구할 수 있도록 했습니다. 주소가 적격한 경우 외부 소유 계정(EOA)과 스마트trac을 구분하지 않았습니다.

이로 인해 자격 요건을 충족하는 사람이라면 누구나 에어드롭을 받을 수 있었지만, 0x Settlertrac주소도 토큰을 획득할 수 있다는 문제가 발생했습니다. Zora가 실수로 0x 생태계용으로 보내야 할 토큰을 해당 계약trac로 보내자, 이러한 상황을 이해하는 사람이라면 누구나 쉽게 토큰을 획득할 수 있었습니다.