Onyx 프로토콜이 환율 악용을 통해 380만 달러 상당의 해킹 피해를 입었습니다

대출 및 차입 플랫폼인 오닉스(Onyx)가 해킹 공격을 받아 380만 달러 상당의 피해가 발생했습니다. 보안 감사 기관인 해켄(Hacken)은 해당 플랫폼에서 발견된 비정상적인 활동을 분석하고 공격의 성격을 추정했습니다. 

Onyx Protocol이 해킹 공격을 받아 380만 달러의 손실을 입었습니다. 이번 공격은 Onyx에 접속하기 불과 몇 분 전에 배포된, 맞춤 제작된 악성 계약을 통해 이루어졌습니다trac해커는 Onyx Protocol의 네이티브 스테이블코인인 Virtual USD(VUSD)를 빼돌리는 데 성공했습니다. 이는 2023년 11월 3일 Onyx TVL이 급락한 이후 두 번째 해킹 공격입니다. 이번 공격으로 자산을 보호한다는 허위 링크를 유포하는 소셜 미디어 공격도 발생했습니다. 따라서 Onyx Protocol의 공식 소셜 미디어 계정만 이용하는 것이 가장 안전합니다. 

Onyx는 VUSD 자체는 영향을 받지 않았으며 계속 작동할 것이라고 발표했습니다. 그러나 추가 담보에도 불구하고 이번 공격으로 스테이블코인의 페그가 무너졌습니다. VUSD는 최저 0.39달러까지 폭락했고, 1달러라는 액면가를 즉시 회복하지 못했습니다. 

해커가 최종적으로 인출한 금액은 적지만, 프로토콜의 손실은 훨씬 더 클 수 있습니다. VUSD 토큰의 명목상 유통량은 5,100만 달러가, 현재 시가총액은 1,900만 달러에 불과합니다. 

오닉스는 환율에 대한 정밀한 공격에 직면했습니다

오닉스(Onyx) 공격의 원인 중 하나는 유동성이 낮은 거래소 풀의 존재였습니다. Hacken의 분석에 따르면, 이 공격은 일부 거래쌍의 유동성이 낮을 때 발생하는 환율 계산 오류로 인해 발생한 것으로 추정됩니다. 해커는 WETH를 오닉스 이더리움(oETH)으로 교환하는 교묘한trac을 준비했습니다. 

해커는 Balancer에서 2,000 WETH를 대출받는 것으로 시작하여 여러 암호화폐 자산을 거쳐 이동시켰습니다. 동시에 악의적인trac는 Onyx에 소액의 ETH 거래를 대량으로 전송했습니다. 이러한 스왑 및 풀 이체를 통해 해커는 명목상 380만 달러에 해당하는 380만 VUSD를 획득했습니다. 

최종 거래에서는 30만 VUSD를 인출하여 CoW 프로토콜의 분할 거래를 통해 ETH로 교환했습니다. 거래 과정에서 약간의 가격 변동이 발생하여 VUSD 가격이 1달러보다 낮았기 때문에, 인출 거래 중 하나는 19만 1천 달러. 

Onyx의 다른 자산들도 영향을 받았습니다

오닉스 풀에 대한 일련의 공격으로 여러 자산이 영향을 받았습니다. Peckshield는 410만 VUSD, 735만 오닉스코인(XCN), 5천 DAI, 0.23 WBTC, 5만 USDT의 이체를dent. 이 모든 이체는 악의적인 스마트trac에 의해 단일 거래로 이루어졌습니다. 

Onyx는 Compound V2의 하드 포크로, 프로토콜의 모든 결함을 그대로 가지고 있습니다. Onyx 자체도 이전에 비슷한 방식으로 해킹당한 적이 있는데, 유동성이 낮은 거래쌍의 가치 계산 및 환율을 악용한 공격이었습니다. 

Sonne 프로토콜은 지난 5월, Compound V2의 알려진 결함으로 인해 또다시 공격당했습니다. 이 결함은 모든 포크된 프로젝트에 영향을 미쳤으며 아직 수정되지 않았습니다. 해당 결함은 프로토콜이 자금이 확보되지 않은 새로운 마켓을 개설할 때마다 발생합니다. 역동적인 DeFi 환경에서 새로운 거래쌍이 추가되면서 문제가 더욱 심화되어 여러 차례 해킹으로 이어졌습니다. 

해커는 잘못된 계산으로 인해 프로토콜의 스마트trac을 호출하여 미미한 담보로 훨씬 더 큰 대출을 받을 수 있었습니다. 

이번 오닉스 공격은 소네 프로토콜 해킹과 유사한 구조를 가지고 있으며, 마찬가지로 최소한의 담보로 상당한 양의 토큰을 인출했습니다. 56건의 스팸 거래가 장기간에 걸쳐 발생하면서 오닉스 환율이 점차 하락했고, 해커는 이를 통해 아주 적은 담보로 모든 자금을 인출할 수 있었습니다. 

현재까지 영향을 받은 NFT는 없습니다. Onyx Protocol은 Bored Ape(BAYC)와 Mutated Ape(MAYC) NFT를 호스팅하여 연간 최대 37%의 패시브 수익을 제공합니다. PeckShield는 또한 해당 프로젝트의 NFT 계약trac결함, 이로 인해 추가적인 공격은 발생하지 않았습니다.

이번 공격은 불량 직원의 소행일 가능성이 있습니다

오닉스 프로토콜 공격은 개별 지갑 공격과 비교해도 상대적으로 규모가 작습니다. 하지만 VUSD를 비롯한 다른 자산의 가치에 미치는 영향은 더 클 수 있습니다. 이 공격은 암호화폐 프로젝트에 또 다른 심각한 위협, 즉 악의적인 직원의 존재를 드러낼 수도 있습니다. 

오닉스 프로토콜 취약점은 북한 해커가 프로젝트 개발자로 위장하여 저지른 소행일 가능성이 있습니다. 연구원들은 DRPK 해커와의 연관성을 시사하는 증거를 가지고 오닉스 팀과 접촉했다고 주장합니다. 

반면, Compound V2 취약점은 널리 알려져 있어 악용하는 데 내부자 지식이 필요하지 않았을 수 있습니다. 

Hristina Vasileva의 Cryptopolitan 보고