안정화 디파이 은행 Infini, 공격자가 관리자 수준의 통제를 유지한 후 4,900만 달러 악용

해커가 Infini 안정화 은행에서 4,900만 달러 이상의 USDC를 빼냈다. 이 악용은 개발자가 Infini에 전달한 후에도 스마트 계약에 대한 접근 권한을 유지한 내부 접근 권한으로 인한 것일 수 있다. 

스마트 계약에 대한 관리자 접근 권한은 안정화 디파이 은행인 Infini 프로토콜에서 4,900만 달러를 빼내는 데 사용되었다. Infini 자체는 악용에 반응하지 않았으며, 해킹의 성격을 설명하지도 않았다. Infini는 안정화 담보를 받아 일상적인 결제를 수행하는 암호화폐 카드 발급사다. 

Infini는 암호화폐와 전통 금융을 혼합한 네오펙트로서 결제 서비스를 광고했다. 이 제품은 카드 캠페인을 시작하면서 지난 몇 주 동안 사용자 수가 500% 증가했다. 네오펙트는 또한 높은 수익률 수익 상품을 제공하여, 악용자에게 이용 가능한 유동성이 증가했다.

정확히 수익률 상품들이 악용의 조건을 만들었는데, 자금들이 보고에 따르면 취한 Morpho MEV Capital Usual USDC 금고에서 유출되었다. Morpho는 어떠한 경고도 발행하지 않았으며 손실된 자산을 보고하지 않았다.

악용은 일반적인 외양을 가진 고래가 거래, 새로운 지갑이 계약에 잠긴 모든 자금을 인출했을 때 주목되었다. 공격자의 지갑은 Infini에게 알려져 있었는데, 프로젝트가 보고에 따르면 악용자에게 스마트 계약을 생성하도록 주문했기 때문이다. 프로젝트에게 알려지지 않은 사실로, 공격자는 관리자 권한을 유지하여 모든 유동성을 빼내는 호출을 할 수 있었다. 

🚨경고🚨오늘, @0xinfini는 공격자가 보유된 관리 권한을 남용하여 4,900만 달러의 $USDC 악용을 당했다.

공격자는 0xc49b5e5b9da66b9126c1a62e9761e6b2147de3e1에서 활동했으며, 처음에는 Infini 프로젝트의 일부로 계약을 개발했다. 그러나 이후… pic.twitter.com/olguOyNCJr

— 🚨 Cyvers Alerts 🚨 (@CyversAlerts) 2월 24일, 2025

악용자의 즉각적인 행동은 USDC를 스왑하여 17,696 ETH를 구매하는 것이었다. 악용자는 탈중앙화 프로토콜을 통해 이용 가능한 DAI를 거쳤다. 자금은 Uniswap, Sky Protocol, 0x Protocol을 통해 이동했다. USDC에서 가능한 한 빨리 스왑하는 것은 해커가 자금을 동결할 수 없고 거래소에서만 블랙리스트 처리할 수 있는 ETH로 이동할 수 있게 했다.

그 후, 공격자는 수익금을 더 작은 금액과 여러 주소로 분할했다. 악용자는 가스 비용과 거래 완료를 위해 작은 금액의 ETH를 보내기 위해 새로운 지갑을 사용했다. 지갑의 초기 자금 조달은 Tornado Cash에서 왔으며, 이는 해커의 온체인 존재의 일부를 은폐했다.

그 후, ETH는 일련의 이동을 통해 이동되었다. 작성 시점 기준, 자금은 아직 혼합되지 않았다. 

북한 해커들이 다시 공격했는가?

계약 생성자의 신원은 Infini가 스마트 계약 구축을 주문한 사람을 공개하지 않았기 때문에 여전히 알려지지 않았다. 

Infini 해킹은 2025의 최대 악용에 이어 발생했으며, 여기서 Bybit 거래소 최대 15억 달러의 이더리움(ETH)을 손실했다. Bybit 해커는 혼합하기 전에 ETH를 분할하는 유사한 접근 방식을 취했다. 온체인 조사관 자크XB는 이러한 접근 방식이 라자루스 해커 그룹의 특징적인 움직임 중 하나라고 지적한 여러 예를 제시했다. 현재까지 Infini는 악용자의 지갑을 다른 알려진 라자루스 주소와 연결하지 않았다. 

이번에는 개인 키가 유출되지 않았으며, Infini는 출금과 예금을 중단하지 않았다. 

Infini의 창립자 @christianeth는 개발자에서 프로젝트로의 권한 이전 과정에서 과실이 있었다며 악용에 대한 전적인 책임을 인정했다. 창립자는 프로토콜이 여전히 유동성이 있으며, 최악의 경우 완전한 보상을 발행할 것이라고 사용자를 안심시켰다. 

“내 개인 키는 유출되지 않았으므로 너무 걱정할 필요가 없습니다. 이전 권한 이전 시 과실이 있었습니다. 궁극적으로 제 책임입니다. 이것이 경종을 울렸습니다… 유동성에 문제는 없습니다. 완전한 보상을 지급할 수 있으며 자금이 추적 중입니다,” 별도의 글에서 X의 @christianeth.

다른 온체인 분석은 해커가 계약에 접근할 수 있게 한 잠재적인 개인 키 유출을 보여준다. PeckShield는 엔지니어가 해커가 된 것이 식별된. 공격 후, Infini 공동 창립자 중 한 명인 @0xsexybanana가 삭제 了自己的 X 계정. 현재 해킹은 내부자 공격으로 의심되는데, 엔지니어가 신뢰를 받아 스마트 계약을 생성했기 때문이다. 

최근의 악용과 ETH 매집은 자금 세탁 및 잠재적으로 적대적 정권 자금 지원에 체인을 사용하는 것에 대한 질문을 제기했다. 동시에 악용은 자산이 몇 주 만에 처음으로 2,800달러 이상으로 상승하는 작은 ETH 반등을 촉발했다. ETH 손실로 인해 거래소는 준비금을 보충해야 했으며, 이는 추가적인 수요로 이어졌다.