Flow, $3.9M 익스플로잇에 대한 사후 보고서 전체 공개

Flow는 2026년 1월 6일, $3.9백만 규모의 익스플로잇 원인을 다룬 사후 보고서를 게시했습니다.

공격자 exploited Cadence 런타임 유형 혼동 취약점을 사용하여 토큰을 위조했습니다. Flow는 기존 사용자 잔액이 접근되거나 침해되지 않았다고 밝혔습니다.

Flow, 익스플로잇의 근본 원인으로 타입 컨퓨전(Type Confusion) 취약점 지목

Flow에 따르면 타입 컨퓨전 취약점이 주요 원인이었습니다. 이 취약점으로 공격자는 보호된 자산을 일반 데이터 구조로 위장하여 런타임 안전 검사를 우회할 수 있었습니다. 공격자는 약 40개의 악성 스마트 컨트랙트 실행을 조정했습니다.

공격은 2025년 12월 26일 23:25 PST, 블록 높이 137,363,398에서 시작되었습니다. 첫 배포 후 몇 분 만에 위조 토큰 생산이 시작되었습니다. 공격자는 보호되어야 하지만 복제 가능한 표준 데이터 구조를 사용하여 복제 불가능해야 할 보호된 자산을 위장했습니다. Cadence의 이동 전용(Move-only) 세미antics를 악용함으로써 토큰 위조가 가능해졌습니다.

Flow가 운영하는 두 가지 통합 프로그래밍 환경은 Cadence와 완전한 EVM(Ethereum Virtual Machine) 호환 환경입니다. 이번 익스플로잇은 Cadence를 표적으로 삼았습니다.

최초 악성 거래 6시간 내 네트워크 중단

12월 27일, 블록 높이 137,390,190에서 Flow 검증자들은 05:23 PST에 조율된 네트워크 일시 중단을 시작했습니다. 모든 탈출구가 차단되었고, 정지는 최초 악성 거래 발생 6시간 이내에 이루어졌습니다.

가짜 FLOW가 12월 26일 23:42 PST까지 중앙화 거래소 입금 계정으로 이동되고 있었습니다. 그 규모와 불규칙성으로 인해 거래소로 보내진 대부분의 대규모 FLOW 전송은 수령 시 동결되었습니다. 12월 27일 00:06 PST부터 Celer, deBridge, Stargate를 사용하여 일부 자산이 오프체인으로 브리징되었습니다.

01:30 PST에 첫 감지 신호가 감지되었습니다. 이 시점에서 거래소 입금이 이상한 크로스-VM FLOW 이동과 연관되었습니다. 1:00 PST부터 위조 FLO가 청산되기 시작하면서 중앙화 거래소는 상당한 매도 압력을 받았습니다.

거래소, 484백만 위조 FLO 토큰 반환

Flow에 따르면, 공격자는 여러 중앙화 거래소에 10억 9,400만 개의 가짜 FLOW를 입금했습니다. 거래소 파트너인 Gate.io, MEXC, OKX는 4억 8,443만 4,923 FLOW를 반환했으며, 이는 파기되었습니다. 가짜 공급량의 98.7%가 온체인에서 격리되었으며 파기 과정에 있습니다. 완전한 해결은 30일 내에 예상되며, 다른 거래소 파트너와의 조정은 아직 진행 중입니다.

커뮤니티가 checkpoint restoration을 포함한 여러 복구 옵션을 평가한 후 복구 전략이 선택되었습니다. Flow는 인프라 파트너, 브리지 운영자 및 거래소와 생태계 전체의 상담을 진행했습니다.

Flow의 $3.9백만 익스플로잇은 2025년 12월 말과 2026년 1월 초 암호화폐 프로토콜을 타격한 유사한 보안 사고 패턴 내에서 발생했습니다. BtcTurk는 2026년 1월 1일 $4,800만 핫 월렛 유출 사고를 겪었습니다. 해커들은 중앙화 거래소의 핫 월렛 인프라를 침해하여 이더리움, 아르비트럼, 폴리고론 등 여러 체인 간 자금을 유출했습니다.

바이낸스는 1월 1일 BROCCOLI 토큰 관련 시장 조성자 계정 조작 사고를 겪었습니다.