마에스트로 텔레그램 봇, 스마트 계약 결함으로 280 ETH 유출

해커들은 최근 마에스트로 텔레그램 거래 봇의 스마트 계약 취약점을 악용하여 280 이더리움(ETH, 약 50만 달러 상당)을 훔쳤습니다. 블록체인 보안 기업 비오신(Beosin)은 트위터에 마에스트로 라우터 2 스마트 계약 내의 외부 호출 결함이 공격의 핵심이었다고 상세히 설명했습니다. 가해자들은 계약의 전송 기능을 조작하여 사용자의 토큰을 자신의 지갑으로 유출시켰습니다.

더욱이, 이 사건의 여파는 3,700만 개의 JOE 토큰을 침해한 대규모 피싱 공격으로 이어졌습니다. 블록체인 분석 기관 페크실드(PeckShield)가 전달한 이 정보는 보안 침해의 심각성을 부각시켰습니다. JOE 토큰 시장은 즉각적으로 반응하여 30% 이상 급락했으며, 유동성 제약으로 인해 마에스트로가 사용자 보상을 위해 JOE 토큰을 구매하지 못해 상황이 악화되었습니다.

그러나 혼란 속에서도 해커들은 암호화폐 영역에서 거래 세부 정보를 숨기는 것으로 알려진 프라이버시 도구인 레일건(Railgun)으로 훔친 ETH를 이동시켜 추가적인 익명성을 확보했습니다.

빠르게 대응한 마에스트로 팀은 이러한 취약점에 대비해 시스템을 강화하는 시정 조치를 시작했습니다. 그들은 트위터에서의 소통을 통해 업데이트된 라우터가 이제 익스플로잇으로부터 안전하다고 사용자에게 보장했습니다. 그러나 스시스왑(SushiSwap), 시바스왑(ShibaSwap), ETH 팬케이크스왑(ETH PancakeSwap)을 포함한 여러 다른 스왑 플랫폼에 풀린 토큰을 포함하는 거래 활동을 일시적으로 중단하기도 했습니다.

기쁜 소식으로, 마에스트로는 피해자들에게 환불하는 책임을 맡았습니다. 그들은 피해자들에게 단순히 ETH를 전송하는 것보다 공정하고 포괄적인 환불을 보장하기 위해 실제 토큰을 구매하기로 선택했습니다. 이 결정은 대부분의 영향받은 토큰을 커버했으며, 공정한 해결을 향한 의지를 보여주었습니다.

신속한 시정 조치에도 불구하고, 이 사건은 사용자가 개인 키를 포기해야 하는 트레이딩 봇의 내재된 위험성을 강조합니다. 이러한 관행은 탈중앙화 금융의 격언인 “내 키가 아니면 내 코인도 없다”에 정면으로 위배됩니다. 이는 잠재적 수익과 개인 키 노출이라는 위험 사이의 타협을 의미하며, 개인 키는 금고를 열쇠와 같은 암호학적 존재이기 때문입니다.

이 취약점은 라우터 컴포넌트에 국한되어 지갑 자격 증명을 침해하지는 않았지만, 암호화폐 커뮤니티 내에서 경계심을 불러일으켰습니다. 이는 복잡한 시스템 내에 숨어 있는 취약점과 디지털 자산을 보호하기 위해 필요한 지속적인 경각심을 상기시켜 주는 명확한 경고입니다.