크로스체인 거래 프로토콜인 LI.FI가 "콜 인젝션 공격"을 받았다고 보안 플랫폼 베오신 얼럿(Beosin Alert)이 화요일에 보고했습니다. 이 공격으로 630만 USDT, 320만 USDC, 16만 9천 DAI를 포함한 약 1천만 달러 상당의 암호화폐 자산이 프로토콜에서 도난당했습니다.
관련 기사: 크라켄, 악의적인 '보안 연구원'들이 300만 달러를 악용할 수 있도록 허용한 버그 공개
LI.FI 공동 창립자 필립 젠트너는 X(구 트위터)에서 해당dent 확인하며, 수동으로 "무제한 승인"을 설정한 사용자만 영향을 받았다고 밝혔습니다. 젠트너는 "현재 LI.FI 기반 애플리케이션 사용을 삼가해 주십시오. 잠재적인 취약점을 조사 중입니다."라고 게시했습니다.
LI.FI가 기존 버그를 통해 해킹당한 것으로 알려졌습니다
해당 취약점은 LI.FItrac의 "depositToGasZipERC20()" 함수에서 trac되었습니다. Beosin의 분석에 따르면, 이 함수는 지정된 토큰을 플랫폼 토큰으로 교환하여 GasZiptrac에 입금할 수 있지만, 함수 호출 시 사용되는 데이터에 대한 제한이 없어 공격자가trac승인 권한을 가진 사용자의 자산을 인출할 수 있습니다.
한편, 또 다른 보안 플랫폼인 Peckshield는 LI.FI 프로토콜이 2년 전에도 동일한 취약점으로 공격받았다고 보고했습니다. Peckshield는 X에 게시한 글에서 "오늘 발생한 LI.FI 프로토콜 해킹을 분석하던 중, 2022년 3월 20일에도 동일한 프로토콜에 대한 해킹이 발생했음을 발견했습니다."라며 "기본적으로 동일한 버그입니다."라고 밝혔습니다
오늘 발생한 @lifiprotocol 해킹 사건을 분석하던 중, 2022년 3월 20일에도 동일한 프로토콜에 대한 해킹이 발생했음을 발견했습니다.
버그는 기본적으로 동일합니다. https://t.co/YcuEe4efOT
우리는 과거의 교훈에서 무엇을 배우고 있을까요? https://t.co/nV4IuX7T7j pic.twitter.com/aVB6FQ3MnT
— PeckShield Inc. (@peckshield) 2024년 7월 16일
2022년 LI.FI 프로토콜 해킹 사건 당시 약 60만 달러 상당의 자산이 도난당하고 유출되었으며, 29개의 지갑이 피해를 입었습니다. LI.FI 팀은 사후 분석 보고서에서 해당 버그가 수정되었고 피해를 입은 모든 사용자에게 보상이 지급되었다고 밝혔습니다.
관련 기사: 2024년 들어 현재까지 약 14억 달러 규모의 암호화폐 도난 사건 발생
현재까지는 이번 해킹으로 피해를 입은 사용자들에 대한 보상 논의는 없는 것으로 보입니다. 다만, LI.FI는 이번 공격에 대한 조사를 진행 중이며, 조사가 진행되는 동안 LI.FI 기반 애플리케이션 사용을 자제해 줄 것을 사용자들에게 당부했습니다.
오늘dent 사건은 LI.FI가 DeFi 사용자들이 다양한 블록체인, 거래소, 브리지를 통해 거래할 수 있도록 지원하기 위해 시리즈 A 투자 라운드에서 1,750만 달러를 유치한 지 1년여 만에 일어났습니다. LI.FI는 총 100억 달러 이상의 거래량을 처리했다고 주장합니다.
