폴리 네트워크, 또 다른 해킹 후 서비스 일시 중단

크로스체인 브리지 플랫폼 폴리 네트워크(Poly Network)는 7월 2일 해커가 수익을 위해 수십억 개의 토큰을 생성할 수 있는 주요 공격의 피해자가 되었습니다. 이 악용은 플랫폼의 크로스체인 브리지 프로토콜에서 스마트 계약 함수를 조작하는 것을 포함했으며, 이로 인해 폴리 네트워크는 서비스를 일시적으로 중단했습니다. 이 공격은 이더리움, BNB 체인, 폴리고론, 아발란체, Heco, OKx, 메티스 등 10개 블록체인에 걸쳐 57개 의 서로 다른 암호화폐 자산을 영향을 받았습니다.

폴리 네트워크는 공격에서 도난된 정확한 금액을 명시하지 않았지만, 해커가 적어도 500만 달러 상당의 암호화폐를 이체한 것으로 보고되었습니다. 이 사건에 대응하여 폴리 네트워크는 중앙화 거래소와 법 집행 기관과 소통하여 문제 해결을 위한 도움을 요청했습니다. 프로젝트 팀은 다른 프로젝트 팀과 토큰 홀더들에게 유동성을 인출하고 LP 토큰을 잠금 해제할 것을 조언했습니다.

DeFi 보안 분석가에 따르면, 이 악용은 해커가 가짜 검증자 서명과 블록 헤더를 포함한 악성 매개변수를 작성할 수 있게 해주는 스마트 계약 취약점의 결과였습니다. 이 매개변수는 스마트 계약에 의해 수락되어 검증 과정을 우회했고, 해커가 폴리 네트워크의 이더리움 풀에서 토큰을 발행하여 메티스, BNB 체인, 폴리고론 등 다른 체인의 자신의 주소로 보낼 수 있게 했습니다. 이 과정이 여러 체인에서 반복되어 상당한 양의 토큰이 축적되었습니다.

폴리 네트워크 해킹

한때 해커의 지갑에는 약 420억 달러 상당의 토큰이 보유되어 있었지만, 해커는 그 중 일부만 변환하고 훔칠 수 있었습니다. 이 공격은 블록체인 보안 솔루션 제공업체 데다우브(Dedaub)에 의해 “340억 달러 폴리 네트워크 해킹”으로 불리며, 프로토콜의 다중 서명 구조의 약점을 강조했습니다. 데다우브는 침해된 주소의 개인 키가 유출되었음을 발견했으며, 이는 더 강력한 보안 조치가 필요함을 강조합니다.

Dedaub는 또한 이 공격이 복잡하지 않았으며 논리 버그를 악용하지 않았다고 지적했습니다. 그러나 Poly Network의 공격 대응은 느렸고(7시간 소요) 550만 달러의 암호화폐 도난이라는 결과를 초래했다는 비판을 받았습니다. 다행히도 많은 토큰의 유동성 부족으로 추가 손실을 방지할 수 있었습니다.

바이낸스 CEO 창펑 자오(Changpeng Zhao)는 바이낸스 사용자가 폴리 네트워크의 예금을 지원하지 않기 때문에 이 공격이 사용자에게 영향을 미치지 않을 것이라고 안심시켰습니다. 이 사건은 폴리 네트워크에 대한 두 번째 주요 공격으로, 2021년 8월에 발생한 이전 공격에서는 북한 해킹 집단인 라자루스 그룹과 연결된 해커들이 6억 달러 이상을 훔쳐갔습니다.