인터뷰: 해커들이 DeFi 프로토콜을 계속 공격하는 이유와 해결책

TL;DR 요약

• 해커들이 암호화폐 및 DeFi 프로토콜을 공격하는 빈도가 계속 증가하고 있습니다.
• 암호화폐 산업 공격으로 7bn 이상 손실, 2021에서.
• 해커들이 암호화폐 산업을 계속 표적으로 삼는 이유.

해커들이 DeFi 공간과 그 연장으로 암호화폐 산업을 공격하는 빈도는 업계에 지속적인 우려의 원인이 되어 왔습니다.

보고에 따르면, 2021년에 169건의 블록체인 해킹 사건이 발생하여 해커들에게 거의 70억 달러의 자금이 손실되었습니다. 지난 한 달 동안 5건 이상의 암호화폐 해킹 사례가 보고되었으며, DeFi 프로토콜 Cream Finance가 최근 해커들의 표적이 되었습니다. 1억 3천만 달러 이상이 도난당한 것으로 알려졌습니다.

이에 Cryptopolitan은 블록체인 통합 및 사이버 보안에 중점을 둔 R&D 회사인 HashEx의 CEO이자 창립자이자 Dmitry Mishunin과 인터뷰했습니다. Dmitry는 사이버 보안과 탈중앙화 애플리케이션에 대한 강력한 기술적 배경과 정보 보안 시스템 개발에 대한 인상적인 경험을 가지고 있습니다.

아래는 인터뷰 발췌문입니다

Q: 최근 사용자가 겪는 해킹 및 익스플로잇의 수에 놀랐습니까?

불행히도 아닙니다. 우리는越来越多的人이 스마트 계약을 작성하고 있음을 보고 있습니다. 하지만 종종 그들은 충분한 프로그래밍 능력과 이더리움과 호환되는 유일한 프로그래밍 언어인 Solidity에 대한 좋은 이해가 부족합니다. 신뢰할 수 있는 DeFi 프로토콜을 생성하려면 프로그래밍 언어에 대한 좋은 이해가 필수적이며, 일부 뉘앙스를 모르면 쉽게 익스플로잇과 자금 도난으로 이어질 수 있습니다.

Q: 악성 코드가 포함된 스마트 계약을 수락하거나 서명하는 것이 어떻게 자산 도난으로 이어질 수 있습니까?

모든 사용자는 블록체인 거래가 되돌릴 수 없다는 것을 알아야 합니다. 일단 ERC-20 토큰의 특정 금액을 ERC-20 스마트 계약에 승인하면, 그 금액은 그 계약에 비가역적으로 이전됩니다. 계약에는 검증된 소스 코드가 있어도 익스플로잇이 없을 수 있지만, 검증되지 않은 라이브러리를 의존성으로 가질 수도 있습니다. 이러한 계약에 토큰을 승인하는 것은 라이브러리의 작동 방식을 확인할 수 없기 때문에 큰 위험입니다.
StableMarket 프로젝트의 경우, 적어도 2,700만 달러 상당의 사용자 자금이 도난당했습니다. StableMarket 프로젝트 계약은 감사된 코드를 가지고 있었지만 검증되지 않은 라이브러리와 함께 배포되었습니다. 이 라이브러리는 악의적이었고, 프로토콜에 저장된 사용자의 토큰을 도난했습니다.

사용자에게 또 다른 위험은 업그레이드 가능한 스마트 계약에 토큰 승인 권한을 부여하는 것입니다. 이러한 계약은 악성 코드로 자동 업그레이드되어 승인된 토큰을 훔칠 수 있습니다.
종종 프론트엔드 앱은 사용될 토큰 금액뿐만 아니라 계약에 토큰의 최대 금액을 승인합니다. 이는 단일 거래에서 가스비를 지불하기 위한 것입니다. 사용자가 계약에 토큰을 예치하면 가스비를 추가로 지불해야 합니다. 하지만 계약이 악의적인 행동을 할 경우 지갑에서 어떤 금액의 토큰이라도 인출할 수 있습니다.

따라서 최대 보안을 위한 최선의 방법은 항상 승인 금액을 확인하고 계약 작업에 필요한 금액만 승인하는 것입니다.

Q: 해커들이 더 똑똑해지고 있는 것일까요, 아니면 암호화폐 사용자가 사이버 보안 절차에 대해 더 경계심을 잃고 있는 것일까요?

두 진술 모두 사실입니다. 해커들은 플래시 로인 플랫폼과 다양한 프로토콜을 결합하여 취약점을 생성하고 악용하는 데 상당한 진전을 이루었습니다. 그 자체로 이러한 다른 플랫폼은 대부분의 경우 안전하지만, 플래시 로인은 더 많은 구조적 복잡성을 만들어내어 취약점이 더 자주 발생하게 만듭니다.

이러한 공격은 매우 복잡합니다. 심지어 분석하는 데에도 많은 시간이 소요됩니다. 또한 테스트가 수행되었거나 코드가 적절히 감사되었다면 대부분 제거되었을 단순한 버그가 있는 프로젝트의 해킹 사례도 많습니다.
일부 책임은 사용자들에게도 있습니다. 많은 사용자가 콜드 스토리지와 같이 위험을 최소화하는 안전한 관행에 대해 알고 있기 때문입니다. 하지만 그들은 종종 이러한 관행을 무시하며, 다중 수익률을 가져다줄 수 있는 기회에 현혹되어 머리를 잃어버립니다. 때로는 단순히 자금을 잃고 마는 경우도 있습니다.

Q: Metamask와 OpenSea, DeFi와 같은 관련 dapp에서 사용자는 어떻게 자산을 더 잘 보호할 수 있을까요?

가장 좋은 보호 방법은 모든 자산을 핫 월렛에 보관하지 않고 콜드 월렛으로 보내는 것입니다. 콜드 월렛은 인터넷에 연결되어 있지 않습니다. 운영에 필요한 소량의 자산만 핫 월렛에 보관하고 나머지는 콜드 스토리지에 보관하는 것이 가장 좋습니다.
그 위에 사용자는 표준 보안 규칙을 따라야 합니다: 안티바이러스를 사용하고, 이메일의 의심스러운 링크를 열지 않으며, 가능한 경우 2단계 인증을 사용해야 합니다.

Q: 업계가 성장함에 따라 해킹과 악용 사례가 더 흔해지리라 생각하시나요?

업계가 성장하고 더 많은 프로젝트가 출시됨에 따라 해킹을 당할 위험에 처하는 프로젝트도 늘어날 것입니다. 모든 프로젝트의 모든 버그를 제거할 수는 없지만, 블록체인 보안 기업들은 이를 최소화하기 위해 끊임없이 노력하고 있습니다. 여기에는 프로젝트의 소스 코드 감사뿐만 아니라, 버그가 아예 나타나지 않도록 예방하거나 적어도 개발 초기 단계에서 발견하는 데 도움이 되는 분석 도구 개발도 포함됩니다.

Q: HashEx는 암호화폐 산업의 확장에서 어떤 역할을 수행합니까?

우리는 탈중앙화 애플리케이션 사용의 투명성과 안전성에 대해 대중을 계몽합니다. 그들의 작동 논리는 평균적인 사용자가 이해하기에는 너무 복잡하고 불분명합니다. 또한, 피노키오가 기적의 땅에서와 같이, 자신이 이해하지 못하는 것에 돈을 맡길 현명한 사람은 없습니다. 우리는 복잡한 개념을 평이한 용어로 설명하고, 사람들이 인지하고 피해야 할 함정을 드러내며, 잠재적 투자자들이 자신의 자금에 대해 정보에 입각한 결정을 내릴 수 있도록 돕습니다.

하지만 우선 우리는 DeFi와 암호화폐를 중심으로 하는 감사 회사입니다. 이는 우리가 스마트 계약에 대한 많은 감사를 수행하여, 투자자들이 비용이 많이 드는 실수로 인해 재정적 타격을 입을 수 있는 프로젝트로부터 잘 보호받기 때문에 투자자들이 신뢰하는 프로젝트에 대해 더 잘 신뢰하도록 돕는다는 것을 의미합니다.

Q: 랜섬웨어, 사이버 보안 및 빈번한 암호화폐 해킹을 종식시키려는 G7과 조 바이든 미국 대통령의 조치에 대한 귀하의 생각은 무엇입니까?

보안 기준의 지속적인 개선은 우리의 일상과 기업 이념의 일부입니다. 우리는 신뢰할 수 없는 DeFi 공간에 신뢰를 불러일으키려 합니다. 그리고 이 문제는 DeFi뿐만 아니라 모든 IT 도메인에서 중요합니다. 새로운 소프트웨어 제품이 빠르게 등장함에 따라 사이버 보안 측면은 불행히도 충분히 주목받지 못하고 있으며, 이는 해커들이 악용할 기회를 만듭니다. 이에는 두 가지 주요 이유가 있습니다: '마우스 클릭 프로그래밍'과 불필요하게 큰 임금을 제공하는 저품질 인력입니다.

이는 빠르게 성장하는 IT 기업의 단점입니다. 이 치열한 경쟁 환경에서 기업들은 서로 앞서 나가기 위해 새로운 제품을 출시하며, 보안 문제의 중요성에도 불구하고 종종 안 좋은 점을 외면합니다. 그 결과, 때로는 많은 사용자가 사용하는 거대한 시스템이 여전히 버그를 가지고 있어 사용자 자금 손실로 이어질 수 있습니다. 때로는 이러한 버그의 결과가 대륙 전체에 미치기도 합니다.

이 관점에서 볼 때, 정부의 개입은 완전히 정당화됩니다. 주 정부들이 이러한 문제에 관여하지 않았다면, 누가 탐욕스러운 사업가들을 제지하고 보안 조치와 합리적인 소프트웨어 개발에 노력을 기울이도록 설득했겠습니까?

사람들이 해킹 사건을 정부 기관에 보고하기 시작하면 긍정적인 효과가 있을 것입니다. 시기적절한 정보는 잠재적인 붕괴의 결과를 최소화하는 데 도움이 될 수 있으며, 이를 통해 예비 채널을 가동할 수 있습니다(미국 동부 해안으로의 석유 공급 상황은 이러한 관행의 좋은 예로 볼 수 있습니다).

산업 전반에 걸쳐 통일된 보안 기준이 전문가가 아닌 외부인이 아닌 전문가에 의해 개발된다면 좋은 효과가 있을 것입니다. 현재 DApp 개발의 초기 단계에서도 우리는 선도적인 감사 기관들이 이러한 기준을 구현하는 것을 보고 있습니다. 이러한 프로토콜의 통합은 모두에게 도움이 될 것입니다: 프로그래밍을 더 쉽게 만들고, 코드를 더 안전하게 하며, 사용자 자산을 보호할 것입니다.

Q: 이러한 해킹이 암호화폐 산업에 미치는 영향에 대해 말씀해 주십시오.

암호화폐 산업에 대한 피드백은 도난당한 자금을 통제하려는 시도입니다. 저는 이것이 좋은 일이라고 생각합니다. 현재 당신은 암호화폐를 통해 현실 세계의 모든 편의시설을 얻을 수 없습니다. 이 상황은 매일 변하고 있지만, 아직 완벽하지는 않습니다. 따라서 해커들은 여전히 불법적으로 획득한 자금을 인출하기 위해 암호화폐와 법정화폐 간의 가교가 필요합니다.

이 단계에서 범죄자를 식별할 수 있습니다. 더 많은 범죄자가 발견될수록 다시 시도하려는 의욕이 줄어듭니다. 동양 문화에서 도둑질 시 신체를 절단하던 과거를 떠올릴 수 있습니다. 법 집행 기관의 이러한 개입은 암호화폐 산업과 그 명성에 완전히 긍정적인 영향을 미치고 있습니다. 이러한 행동은 사람들이 더 안전하다고 느끼게 만듭니다.

Q: 이러한 많은 암호화폐 해킹의 배후에 있는 나쁜 행위자/플레이어들을 견제하기 위해 어떤 제재를 권장하십니까?

앞서 말했듯이, 저는 그러한 개인들을 처벌하는 데 찬성합니다. 저는 그러한 운영을 다양한 심각성의 금융 사기로 간주하고 이에 상응하는 법적 조치를 취할 것입니다. 저는 현재 시점에서 새로운 법률을 제정하려고 시도하지 않을 것입니다.

Q: 해킹이 없는 암호화폐 세계는 거의 달성하기 어렵습니다. 암호화폐 이해관계자, 정책 입안자 및 기타 관련자들이 공격을 최소한으로 줄이기 위해 어떻게 할 수 있습니까?

사이버 위협 없이 IT 도메인을 상상할 수 없습니다. 하지만 우리가 일반 비즈니스를 말할 때, 우리는 전체 그림이 아닌 빙산의 일각만 봅니다. 이러한 지식이 공개되면 회사의 평판을 훼손할 수 있기 때문에 눈에 띄지 않는 해킹이 훨씬 더 많이 발생합니다. 암호화폐에서는 모든 것이 투명하고 공개적으로 알려져 있으므로, 대중 매체가 이러한 사건들을 더 자주 보도합니다.

사이버 보안은 암호화폐-법정화폐 출금 및 입금 지점의 규제 프레임워크, 사용자 교육, 코드 검사를 위한 사이버 보안 팀 등 다차원적인 실천입니다. 이 산업은 아직 젊기 때문에 올바른 개발 방향으로 유도할 수 있는 훌륭한 기회를 제공합니다. 이렇게 하면 나중에 구멍을 메우려 애쓰는 대신从一开始 더 안전한 관행을 활용할 수 있습니다.