탈중앙화 금융(DeFi) 프로토콜은 사용자에게 탈중앙화 금융 서비스를 제공하여 다른 참여자와 거래를 수행하고 계약을 체결할 수 있게 합니다. DeFi 프로토콜은 사용자에게 안전하고 신뢰할 수 있는 플랫폼을 제공하려는 목표를 가지고 있지만, 지난 몇 년 동안 발생한 여러 해킹으로 인해 상당한 자금 손실이 발생했습니다. 이 기사에서는 최근 발생한 가장 광범위한 DeFi 해킹 사례 중 일부를 논의할 것입니다.
다음은 반환된 자금을 공제한 후 Web3의 상위 8개 암호화폐 DeFi 해킹 사례입니다:
Ronin 체인 – $600m
2023년 3월은 암호화폐 공간에서 사건이 많은 달이었으며, Axie Infinity Ronin 브리지 해킹이 6억 1,200만 달러로 목록의 정상을 차지했습니다.
Ronin 브지는 인기 있는 플레이 투 어인 게임 Axie Infinity에서 사용되는 이더리움 사이드 체인입니다.
북한과 연결된 것으로 의심되는 사이버 범죄 그룹 라자루스(Lazarus)는 9명의 거래 검증자의 개인 키에 접근하여 두 건의 대규모 거래를 승인하고 자금을 지갑 주소로 이동할 수 있었습니다. 다행히도 당국, 보안 회사 및 암호화폐 거래소 간의 협력을 통해 해커들이 자금을 오픈 소스 암호화폐 터블러인 토르나도 캐시(Tornado cash) 및 기타 거래소로 옮긴 후 일부 자금을 추적하는 데 도움이 되었습니다.
Wormhole 브리지 – $323m
2022년 2월, 불행한 사건이 발생하여 암호화폐 해커들이 웜홀의 코드를 악용하여 3억 2,600만 달러 상당의 암호화폐를 훔쳐갔습니다.
웜홀은 솔라나와 이더리움 간의 토큰 브리지로, 불행히도 이 공격을 방지하지 못했습니다. 이는 서명 검증을 우회하고 서명의 위임 체인을 가능하게 하는 사용 중지된/죽은 보안되지 않은 함수로 인해 가능했습니다.
사이버 보안 전문가들은 개발자가 모든 매개변수를 확인해야 하는 ‘보안 코딩 관행’을 실천했다면 이 공격을 예방할 수 있었을 것이라고 제안합니다. 이 확인은 유효한 주소의 인증을 보장하여 체인에서 자산에 접근하는 불법 출처를 배제할 수 있었을 것입니다.
Beanstalk – $181m
2022년 4월의 운명적인 주말, 해커들이 암호화폐 커뮤니티를 뒤흔든 공격을 감행했습니다. 그들은 탈중앙화 금융(DeFi) 프로토콜의 기능인 플래시 로인을 사용하여 Beanstalk 스테이블코인 프로토콜에서 1억 8,200만 달러 상당의 ETH, BEAN 스테이블코인 및 기타 자산을 훔치는 데 성공했습니다.
해커들은 Beanstalk DAO의 긴급 커밋 기능을 통해 두 가지 악성 제안서를 제출했으며, 이는 24시간 후 3분의 2 이상의 표결을 거쳐야 구현됩니다. 공격자는 플래시 로인 기술을 사용하여 토큰의 79%를 통제함으로써 두 제안서를 모두 통과시키고 계획을 성공적으로 실행했습니다.
자금은 프로토콜 내부에서 플래시 로인을 상환하기 위해 송금되었으며, 나머지는 우크라이나 기반 긴급 기금과 관련된 주소로 이동했습니다. 총 7,600만 달러까지 이 '용감한 행위'를 저지른 개인이 가져갔습니다.
Nomad – $155m
2022년 8월 1일 발생한 놀라움의 Nomad 브리지 해킹 사건은 화제가 되었습니다. 공격자가 다중 체인 크로스 브리지에 저장된 1억 9,000만 달러 이상의 이더리움 기반 자산을 고갈시키는 취약점을 이용하면서 많은 블록체인 애호가들을 충격에 빠뜨렸습니다.
해커들은 빠르고 격렬하게 움직였으며, 960건의 거래에 수백 개의 지갑이 관여하여 브리지의 총 잠금 가치(TVL)에서 1,175건의 개별 인출을 초래했습니다. 모두 몇 시간 안에 이루어졌습니다.
이 해킹의 놀라운 점은 모든 사용자가 브리지 자금을 해킹하기 위해 해야 했던 일이 원래 해커의 트랜잭션 호출 데이터를 복사-붙여넣기하고, 원래 주소를 개인 주소로 대체하기만 하면 트랜잭션이 완료된다는 것이었습니다.
이 해킹은 탈중앙화 금융(DeFi) 커뮤니티에 충격을 안겨주었으며, 해커들이 코드의 구멍을 악용할 때 항상 한 발 앞서 있음을 증명했습니다. Nomad 브리지는 안전한 코딩 관행의 중요성을 보여주는 예시이며, 보안이 오늘날 블록체인 프로젝트들에게 지속적인 도전 과제임을 다시 한번 강조합니다.
CREAM Finance – $130.8m
2021년 10월 CREAM에 대한 공격은 가장 큰 플래시 로인 도난 사건 중 하나였지만, 분명히 고립된 사건은 아니었습니다. 플래시 로인 공격은 단일 트랜잭션 내에서 유동성의 '플래시 로인'을 사용하고, 빌린 후 이 빠른 자금에 대해 디폴트(불이행)하는 것을 포함합니다.
가격 계산 오류를 악용하면 해커들은 빌린 자금으로부터 빠르게 이익을 얻을 수 있습니다. 예를 들어 CREAM의 경우, 두 개의 서로 다른 주소가 yUSDVault와 상호작용하여 대량의 crYUSD 토큰을 발행했습니다. 그들은 이러한 지분의 가치를 두 배로 만드는 취약점을 악용했습니다. 비록 그들이 1억 3,000만 달러 상당의 자금을 성공적으로 확보했지만, 사용 가능한 담보의 약 10억 달러는 이 금액보다 훨씬 더 많은 자금을 가져갈 수 있었습니다.
플래시 로인 공격은 점점 더 흔해지고 있으며, 커뮤니티는 향후 보안 침해 사건을 어떻게 예방할 수 있을지 질문해야 합니다.
BSC 토큰 허브 – $127m
2022년 10월, 해커들은 BSC Beacon 크로스 브리지 코드의 치명적인 취약점을 악용하여 총 5억 7,000만 달러 상당의 암호화폐 자산을 훔쳐갔습니다.
BSc Beacon 체인(토큰 허브로도 알려짐)은 BNB Beacon Chain(BEP2)과 BNB Chain(BEP20/BSC)을 연결하는 인터체인 브리지입니다.
해커는 트랜잭션과 같은 데이터의 유효성을 확인하기 위한 것으로 알려진 메르클 증명(Merkle proofs)을 위조했습니다. 그리고 이러한 위조된 메르클 증명을 사용하여 BSC Beacon 크로스 브리지에서 다른 체인으로 자금을 이체했습니다.
테더가 공격자의 주소를 즉시 블랙리스트에 올린 후, 빠른 조치가 이어져 BNB 체인에서 700만 달러 이상이 이동하는 것이 동결되었으며, 대부분의 불순한 자금을 압수당했습니다.
Harmony Horizon – $100m
2022년 6월, Harmony Horizon Bridge 프로젝트가 해커들에 의해 침해당했으며, 해커들은 5개의 검증자 개인 키 중 2개를 훔쳐 사기꾼들이 1억 달러 상당의 토큰을 이체할 수 있도록 했습니다.
이 보안 문제는 브리지가 2 of 5 검증 방식을 사용하여 설정된 방식 때문이었습니다. 결과적으로 공격자는 악성 트랜잭션이 검증되기에 두 개의 승인만 필요로 했습니다. 그들의 발자국을 감추기 위해 공격자들은 Tornado Cash를 사용하여 불순한 자금의 일부를 세탁했습니다.
이러한 설정이 초기에는 안전해 보였을지 모르지만, 이는 나쁜 행위자들에게 매력적인 표적이 되었으며,Caught된 이들에게 블록체인 안전에 대한 비싼 교훈을 남겼습니다.
Rari- $91 m
재진입 공격(Reentrancy attacks)은 이더리움 초기부터 존재해 왔습니다. 이들은 계약의 취약점을 사용하여 원래 트랜잭션이 승인되거나 거부되기 전에 자금을 반복적으로 인출하는 데 사용되었습니다.
2022년 5월, 두 개의 탈중앙화 금융 플랫폼이 이러한 방식으로 침해당했으며, 해커들은 9,000만 달러를 훔쳤습니다. Rari Capital의 Jack Longarzo는 공격자가 회사를 악용했다고 말했으며, Rari Capital과 합병한 Fei Protocol은 해커에게 1,000만 달러의 보너스를 제공했습니다.
블록체인 보안 회사 BlockSec은 해커들이 재진입 취약점을 사용했다고 설명했습니다.
개발자들은 이더리움 블록체인에 배포하기 전에 계약을 적절히 테스트하고 감사함으로써 이러한 유형의 공격을 예방할 수 있습니다.
DeFi 악용으로부터 자신을 보호하는 방법
DeFi 프로토콜은 점점 더 인기 있고 복잡해져 해커들에게 매력적인 표적이 되고 있습니다. 다음은 DeFi 악용으로부터 자신을 보호하는 데 도움이 되는 7가지 팁입니다.
- 투자하기 전에 모든 프로젝트에 대한 철저한 실사를 수행하십시오. 플랫폼의 코드, 웹사이트, 팀 구성원 및 소셜 채널에서 경고 신호를 확인하십시오.
- 신뢰할 수 있는 출처가 상호작용하는 계약을 감사했으며, 감사 결과가 공개적으로 이용 가능하도록 하십시오.
- 하나의 DeFi 계약에 대량의 자금을 보관하지 마십시오. 이는 공격에 더 취약해집니다.
- 새로운 악용 사례에 대해 배우기 위해 최신 보안 뉴스를 업데이트하십시오.
- DeFi 프로토콜과 상호작용하는 모든 계정에 대해 적절한 인증 및 권한 부여 절차를 구현하십시오.
- 지갑이 안전한지 확인하고, 가능한 경우 항상 2단계 인증을 사용하십시오.
- 의심스러운 활동이나 승인되지 않은 인출을 감지하기 위해 블록체인에서 자금과 트랜잭션을 정기적으로 모니터링하십시오.
이러한 팁을 따르면 DeFi 악용으로부터 자신을 보호하고 탈중앙화 금융 프로토콜과 상호작용할 때 자금이 안전하게 유지되도록 할 수 있습니다. 그러나 어떤 시스템도 완벽하지 않다는 점을 기억하는 것이 중요하므로, 디지털 자산과 거래할 때 항상 추가적인 주의가 필요합니다.
결론
전반적으로 보안은 암호화폐와 DeFi 프로토콜을 다룰 때 가장 중요한 고려 사항 중 하나입니다. 불행히도 산업이 계속 성장함에 따라 악의적 활동의 위험도 증가하고 있습니다. 완전한 안전을 보장하는 것은 불가능하지만, 이러한 팁을 따르면 DeFi 악용으로부터 자신을 보호하고 자금을 안전하게 유지하는 데 도움이 될 수 있습니다.
블록체인 보안의 최신 개발 사항을 최신 상태로 유지하고 모든 계정에 대한 적절한 인증 절차가 마련되어 있는지 확인함으로써 디지털 자산이 안전하게 유지되도록 도울 수 있습니다.
자주 묻는 질문
토르나도 캐시란 무엇인가요?
토르나도 캐시는 사용자가 암호화폐를 혼합할 수 있게 해주는 이더리움 기반의 프라이버시 프로토콜입니다.
플래시 로운이란 무엇인가요?
플래시 로운은 담보 없이 자금을 빌릴 수 있는 이더리움 블록체인 상의 대출 유형입니다.
디파이 익스플로잇이란 무엇인가요?
디파이 익스플로잇은 분산 금융 프로토콜의 취약점을 이용해 분산 플랫폼에서 자금을 탈취하는 공격입니다.
유니스왑은 디파이 플랫폼인가요?
유니스왑은 사용자가 암호화폐와 디지털 자산을 거래할 수 있는 분산 금융 플랫폼입니다.
우리의 콘텐츠는 철저한 조사를 바탕으로 작성되었으나, 가치 있는 기업이 간과될 가능성도 인정합니다. 만약 귀사가 우리 목록에 누락되었다고 생각하시거나, 독자로써 가치 있는 기업을 발견하셨다면 아래 이메일로 연락해 주세요. [email protected].
다밀롤라 로런스
다밀롤라 로런스는 5 년 이상 암호화폐 시장과 기술 관련 뉴스를 보도해 왔습니다. 그는 이전에 TheShibMagazine, CryptoMode, Qweens Magazine, The Recording Academy 에서 암호화폐 인사이트와 분석을 공유했으며, 웹3 분야로 전환했습니다. Cryptopolitan 에서는 암호화폐 가격 예측 전문가로 활동하고 있습니다. 학사 학위를 마친 후 현재 Maria Curie-Skłodowska 대학교에서 IT 사이버보안 석사 과정을 이수 중입니다.
