사가(Saga) 익스플로잇으로 훔친 $6.2M이 토네이도 캐시에 유입

사가EVM 익스플로잇 도중 탈취된 자금 중 620만 달러가 이더리움 기반 프라이버시 믹서인 토네이도 캐시(Tornado Cash)로 입금된 것으로 추적되었다. 토네이도 캐시는 거래 내역을 숨기는 데 도움을 주는 서비스이다. 

이 같은 전술은 상당액의 탈취 자금을 세탁하고 회수를 거의 불가능하게 만들려는 해커들에게 흔하게 사용된다. 

The exploit L1을 출시하기 위한 L1으로 설명되는 사가EVM을 표적으로 한 익스플로잇은 1월 21일에 발생했다. 사건 이후 팀은 X(구 트위터)에 사가EVM 체인렛에서 확인된 익스플로잇에 대응하여 블록 높이 6,593,800에서 L1이 일시 중단되었다고 게시했다.

해커들이 탈취한 자금을 세탁한 방법 

에 따르면 보고서 블록체인 보안 기업 CertiK에 따르면, 공격자들은 처음에 자금을 5개의 별도 지갑으로 분산한 후 여러 거래를 통해 프라이버시 믹서로 유입시켰다. 

“대응 조치가 진행 중이며, 팀은 솔루션 마련에 전념하고 있습니다,”라고 팀은 별도의 글에서 당시. 

이번 익스플로잇으로 USDC, yUSD, ETH, tBTC 등 약 700만 달러가 이더리움 메인넷으로 이체되었다. 익스플로이터의 지갑은 식별되었으며, 교환소 및 브리지에 제공되어 블랙리스트에 등재되고 탈취 자금의 회수를 시도했다. 

CertiK의 보고서에 따르면, 해당 자금 중 620만 달러가 토네이도 캐시 믹서로 입금된 것으로 분리되었다. 이는 복구 및 회수 노력을 좌절시킬 것으로 예상된다. 

최신 입금은 토네이도 캐시의 명성을 더욱 높였으며, 이는 과거 미국 제재와 개발자들을 괴롭히는 법적 문제로 얼룩진 이력과 맞물려 있다. 

공격자들은 익스플로잇 후 자신의 흔적을 숨기기 위해 여전히 이를 사용하고 있으며, 이는 설계된 목적대로 작동하여 그들이 사라지는 데 도움을 준다. 

사가EVM에는 무슨 일이 있었는가? 

팀이 1월 21일에 공유했던 사후 분석 보고서에 따르면, 이 사건은 계약 배포, 크로스체인 활동 및 이후 유동성 인출이 조율된 시퀀스로 구성되었다.

문서는 팀이 적극적으로 조사하고 대응하는 동안 예방 차원에서 체인을 일시 중단했다고 밝혔다. 이는 사가EVM을 중단하여 추가 영향을 차단하고, 아카이브 데이터 및 실행 추적을 사용하여 전체 영향 범위를 검증하며, 재시작 전에 관련 구성 요소를 강화하는 데 초점을 맞추고 있음을 드러냈다. 

익스플로잇의 영향을 받은 주요 구성 요소에는 사가EVM 체인렛과 콜트(Colt), 머스탕(Mustang)이 포함된다. 사가 SSC 메인넷, 사가 프로토콜 컨센서스, 검증자 보안 및 기타 사가 체인렛과 같은 다른 구성 요소는 영향을 받지 않았다. 

“컨센서스 실패, 검증자 침해 또는 서명 키 유출은 없었습니다,”라고 문서는 기사“더 넓은 사가 네트워크는 구조적으로 건전합니다.”라고 밝혔다. 

팀의 다음 단계는 근본 원인 검증 완료, 영향받은 크로스체인 및 배포 구성 요소의 패치 및 강화, 관련 생태계 파트너와의 조정, 그리고 더 포괄적인 기술 사후 분석 게시로 예상된다. 

취약점은 코스모스(Cosmos)로 거슬러 올라간다 

코스모스 랩스(Cosmos Labs) 엔지니어들의 지원을 받은 후, 팀은 공개했다 문제가 원래 에테르민트(Ethermint) 코드베이스에서 비롯된 것이므로 상속된 문제임을 확인했다. 

그 게시물에 대한 응답으로, 코스모스 랩스 사건을 인지하고 있으며 사가 및 외부 보안 파트너와 긴밀히 협력하여 ‘확인된 취약점’을 조사하고 대응하고 있다고 주장하는 성명을 공유했다. 

그들은 사건에 영향을 받은 것으로 간주되는 EVM 체인들의 하위 집단에 연락하여 단기 대응 조치를 제공했다고 밝혔다. 

“언제나 그렇듯이 모든 프로젝트가 레이트 리미팅(rate-limiting) 및 보안 모니터링과 같은 기본 보안 관행을 계속 구현하여 조기 탐지 및 대응을 강화할 것을 권장합니다,”라고 그들은 별도의 글에서 X에서.