- 악의적인 공격자가 Flooring Protocol의 포크체인인 Asterix에서 약 40,000 달러를 탈취했으며, 이는 하루 앞서 Flooring을 타격했던 동일한 취약점을 악용한 것입니다.
- Yuga Labs가 이끄는 화이트 해트 연구원들은 Flooring의 풀에서 약 500,000 달러 상당의 NFT를 회수했습니다.
- 연달아 발생한 공격은 포크된 코드베이스가 보안 패치가 누락된 결함을 물려받을 수 있는 위험성을 강조하며, 암호화폐 관련 탈취 손실이 이미 3억 4천만 달러를 넘어선 한 해에 더욱 우려를 자아냅니다.
6월 8일의 Flooring Protocol 악용 사건은 오늘 초 NFT 유동성 플랫폼의 포크인 Asterix가 약 4만 달러 상당의 자산을 빼앗기는 악용의 대상이 되면서 속편이 나왔습니다.
이 악용 소식은 화이트 해트 연구원들이 동일한 Flooring 계약 취약점을 통해 Asterix에 침투하는 데 사용된 것으로 보이는 취약점에서 50만 달러 이상의 블루칩 NFT를 회수하는 데 도움을 준 후 분위기를 어둡게 했습니다.
Flooring Protocol의 취약점이 포크된 코드를 통해 Asterix로 확산됨
BlockSec 블록체인 보안 회사의 일원인 Phalcon은 Asterix 공격 벡터와 6월 8일 공격자들이 Flooring Protocol 풀을 털어낼 수 있게 한 결함 사이의 유사성을 처음 알아차린 사람 중 한 명이었습니다.
Phalcon은 Flooring Protocol 공격이 본질적으로 Asterix에서 다시 실행된 것이라고 밝혔습니다. 이는 후자가 가용성과 비가용성 메커니즘을 결합한 토큰 표준인 DN404/BT404에서 포크되었기 때문입니다.
Flooring 사건에 대한 초기 보고에서는 손실 금액이 90만 달러 이상이었지만 화이트 해트 개입 약 500,000달러를 회수하는 데 성공했습니다.
Asterix는 이미 X 성명을 통해 4시경(GMT+8)에 $ASTX 토큰 계약에 악용이 발생했음을 인정했습니다. 팀은 분석이 완료되면 전체 사후 분석을 게시할 것이라고 밝혔습니다.
Flooring 악용은 어떻게 발생했습니까?
작년 운영을 중단한 Flooring Protocol은 사용자가 NFT를 풀에 예치하고 잠긴 자산과 1:1로 페그된 가용 토큰을 받을 수 있게 했습니다.
이후 확산되기 시작한 Flooring Protocol 공격은 Yuga Labs의 블록체인 부사장이 '유령 소유권' 현상이라고 부른 플랫폼의 BT404 스타일 회계 시스템의 결함을 악용했습니다. X에서.
간단히 말해, 이는 누군가가 하나의 악성 토큰 ID를 사용하여 하나의 소유권 검사를 통과한 후 다른 회계 논리에서 다른 결과를 생성하기 위해 이를 재사용할 수 있음을 의미하며, 이는 토큰 잔액에서 수학적 문제를 초래합니다.
이 경우 공격자는 Flooring의 풀에 잠긴 NFT를 청구하는 데 누구나 사용할 수 있는 가용 토큰인 fpTokens의 거의 무한한 잔액을 생성했습니다.
Yuga Labs, 화이트 해트 노력 강화
Flooring 털기 사건이 공개되자 Yuga Labs의 CEO 마이클 피게는 다른 공격자가 취약한 NFT에 접근하기 전에 회사가 신속하게 화이트 해트 구조 작업을 시작했다고 밝혔습니다.
이 NFT 구조 작업은 당시 약 57만 달러(346 ETH)로 추정되는 68개의 NFT를 확보했으며, 여기에는 29개의 Bored Ape Yacht Club NFT, 4개의 Mutant Ape, 2개의 CryptoPunk, 1개의 Azuki, 2개의 Elementals, 26개의 Captains, 1개의 Moonbird, 2개의 Doodles가 포함되었습니다.
Asterix가 공격을 받은 후 자신의 취약점을 감지한 프로젝트인 Super Secret Rare (SSR)은 사용자들에게 경고했습니다. 상황이 해결될 때까지 풀과 상호작용하지 말아달라고 요청했습니다.
Flooring의 영향받은 계약의 개발자인 FreeLunchCapital은 악용이 BitmapPunks에도 영향을 미쳤다고 확인했습니다. BitmapPunks는 유사한 계약 설계를 사용했습니다. 두 프로젝트 모두 잠긴 NFT와 1:1로 페그된 가용 토큰에 의존하고 있어 동일한 공격 경로에 취약했습니다.
연이은 악용 사건
Flooring와 Asterix 사건은 Web3를 강타하고 있는 비참한 보안 실패의 연속에 추가되었습니다. Cryptopolitan이 이전 보고서에서 관찰했듯이, 4월의 천문학적인 달러 손실은 5월에 개별 사건 수가 증가하여 Certik에 따르면 60건의 확인된 보안 사건으로 총 6,830만 달러의 총 손실로 이어졌습니다. PeckShield는 6월 1일 기준 14건의 브리지 및 크로스체인 악용으로 인해 3억 4,070만 달러의 손실이 발생했다고Attributed했습니다.
포크된 프로토콜은 자체적인 골칫거리를 안겨줍니다. 하류 프로젝트가 감사 없이 코드를 복사할 때, 기본 코드베이스의 단일 취약점은 Flooring, Asterix 사례에서 발생한 것처럼 여러 수준에 걸쳐 복제될 수 있습니다.
Yuga Labs는 Flooring Protocol 개발자가 패치를 완료하면 구조된 NFT가 반환될 것이라고 밝혔습니다. 0xQuit는 취약점이 해결될 때까지 Flooring에 새로운 NFT를 입금하지 말라고 사용자에게 경고했습니다. Asterix 보유자에게는 4만 달러의 손실이 규모 면에서는 작지만, 팀은 아직 복구 가능성이 있는지 공개하지 않았습니다.
암호화폐 뉴스를 단순히 읽는 것을 넘어, 이해하세요. 뉴스레터에 구독하세요. 무료입니다.
자주 묻는 질문
Asterix란 무엇이며 Flooring Protocol과 어떤 연관이 있나요?
Asterix는 Flooring Protocol과 DN404/BT404 토큰 표준의 코드를 포크한 프로젝트입니다. 공유된 코드베이스로 인해 6월 8일 Flooring에서 악용된 동일한 취약점이 다음 날 Asterix에서도 사용될 수 있었습니다.
Flooring Protocol 취약점 공격으로 인한 피해 규모와 복구 현황은 어떻게 되나요?
Flooring 취약점 공격의 총 피해액은 900,000 달러를 초과했으며, 화이트 해트 연구원들은 보어드 에이프 29 마리와 크립토퀸크 2 개를 포함한 약 500,000 달러 상당의 NFT를 회수했습니다.
Flooring Protocol 의 취약점은 무엇으로 인해 발생했나요?
Yuga Labs의 블록체인 VP인 0xQuit에 따르면, Flooring의 BT404 스타일 회계 시스템 결함으로 인해 악성 토큰 ID가 한 번의 소유권 검사는 통과했으나 이후 회계에서는 다른 결과를 반환하여 '유령 소유권' 상태를 만들었고, 이로 인해 공격자는 무제한에 가까운 클레임 토큰 잔고를 얻었습니다.
면책 조항. 제공된 정보는 투자 조언이 아닙니다. Cryptopolitan.com은 이 페이지에 제공된 정보를 기반으로 이루어진 모든 투자에 대해 책임을 지지 않습니다. 어떤 투자 결정을 내리기 전에 독립적인 조사나 자격을 갖춘 전문가와의 상담을 강력히 권장합니다.
한나 콜리모어
한나는 암호화폐 분야에서 거의 10년 간의 블로그 작성 및 이벤트 리포팅 경험을 가진 작가이자 편집자입니다. 크립토폴리탄에서 한나는 뉴스 페이지에 기여하며 DeFi, RWA, 암호화폐 규제, AI 및 프론티어 테크 산업의 최신 동향을 보도하고 분석합니다. 그녀는 아카디아 대학교에서 경영학 학위를 취득했습니다.
