1월 Web3 보안 사건 리뷰: 총 손실 약 1.6억 달러
작성: 슬로우미스트 보안 팀
개요
슬로우미스트 블록체인 해킹 아카이브에 따르면, 2024년 1월에는 총 56건의 보안 사고가 발생하여 약 1.6억 달러의 손실이 발생했으며, 원인은 스마트 계약 취약점, DDoS 공격, 플래시론 공격, 가격 조작, 계정 탈취 등 다양하다.
주요 사건
Radiant Capital
2024년 1월 3일, 멀티체인 대출 프로토콜 Radiant Capital이 공격을 받아 1900 ETH(약 450만 달러)를 유실했다. 분석 결과, 해커는 대출 시장(Compound/Aave에서 파생됨)에서 새 시장이 활성화되는 시간 창을 이용한 것으로 밝혀졌다. 이 취약점은 현재 Compound/Aave 코드베이스 내에서 알려진 반올림(rounding) 문제에도 의존하고 있다.
1월 4일, Radiant Capital은 이번 공격으로 WETH 시장에서 프로토콜 TVL의 약 1.3%에 해당하는 부실채권이 발생했다고 발표했다. 1월 5일에는 Radiant DAO가 Arbitrum 대출 시장의 자본 재편과 WETH 시장 초과 부채 상환에 대해 전략 및 로드맵을 논의하기 위한 RFP-27 제안을 발의했다.
(https://twitter.com/RDNTCapital/status/1742638364933714112)
Gamma
2024년 1월 4일, 유동성 관리 프로토콜 Gamma가 공격을 받아 약 618만 달러의 손실을 입었다. Gamma는 플래시론 공격으로부터 금고를 보호하기 위해 4가지 주요 예금 보호 메커니즘을 운영하고 있으며, 그 중 하나는 "가격 변동 임계치를 설정하여 일정 수준 이상의 가격 변화 시 예금을 차단한다"는 것이다. 그러나 문제는 이 가격 변동 임계치가 너무 높게 설정되어 일부 LST와 스테이블코인 금고의 가격 변동 범위가 -50% / +100%에 달해, 공격자가 가격을 임계치까지 조작한 후 대량의 LP 토큰을 민팅할 수 있었다.
(https://medium.com/gamma-strategies/post-mortem-remediation-plan-9a62f10d90f3)
Narwhal
2024년 1월 5일, 유동성 마이닝 프로젝트 Narwhal 프로토콜이 공격을 받아 약 150만 달러의 손실이 발생했다. 모든 NRW 토큰은 USDT로 교환되었으며 Stargate 브릿지를 통해 이더리움 체인으로 이체되었다. 대부분의 도난 자산은 Tornado Cash로 전송되었다.
(https://twitter.com/Narwhal_fyi/status/1744042646954488145)
Coinspaid
2024년 1월 6일, 암호화폐 결제 서비스 제공업체 Coinspaid에서 무단 거래가 다수 발생하여 해커가 약 750만 달러 상당의 암호자산을 탈취했다. 피해 자산은 480만 USDT, 500 ETH, 9700만 CPD, 10.6만 USDC, 2.4만 BSC-USD, 268.5 BNB 등이다.
Socket
2024년 1월 16일, 상호 운용성 프로토콜 Socket이 트위터를 통해 보안 사고를 알렸다. 공격자는 사용자를 대신해 토큰 스왑을 수행하는 새로운 모듈의 취약점을 이용하였으며, 이 모듈의 결함으로 인해 Socket Gateway 컨트랙트에 토큰을 무한 승인한 사용자들의 자금을 탈취할 수 있었다. 이번 공격은 이더리움 네트워크상 두 건의 악성 거래를 통해 실행되었으며, 총 도난 금액은 약 330만 달러였다. 1월 23일, 슬로우미스트 보안 팀을 포함한 여러 파트너의 협조 하에 Socket은 1032 ETH(약 220만 달러)를 성공적으로 회수했으며, Socket 팀은 슬로우미스트 보안 팀에게 감사를 표했다.
(https://twitter.com/SocketDotTech/status/1749734794320363802)
Manta Pacific
2024년 1월 18일, Manta Network의 트위터 게시글에 따르면 Manta Pacific 체인이 UTC 기준 오전 9시경 RPC 공격을 받았다. Manta Network 공동창립자 케니 리(@superanonymousk)는 트위터를 통해 추가 정보를 공유했으며, Manta Network는 UTC 오전 9시 30분, 즉 TGE 행사 시작 직전에 정교하게 기획된 DDoS 공격을 당했다고 밝혔다. RPC 노드는 1억 3500만 건 이상의 요청을 수신하며 매우 격렬하고 계획적인 공격임을 나타냈다.
(https://twitter.com/superanonymousk/status/1747968680686993800)
HTX
2024년 1월 19일, HTX는 소셜 미디어를 통해 애플리케이션이 일시 중단되고 있으며 기술팀이 문제 해결에 집중하고 있다고 알렸다. 트론 창립자 저스틴 선은 트위터를 통해 htx.com과 HTX_DAO가 DDoS 공격을 받았다고 언급했다.
(https://twitter.com/justinsuntron/status/1748319971837710471)
Concentric Finance
2024년 1월 22일, Camelot V3 프로토콜 기반 DeFi 프로토콜 Concentric Finance가 공격을 받아 약 170만 달러의 손실을 입었다. Concentric Finance는 공식 소셜 미디어를 통해 계약 배포자 지갑을 보유한 팀원 한 명이 사회공학 공격을 당했으며, 공격자가 이를 이용해 자산 금고를 업그레이드하고 새로운 LP 토큰을 민팅한 후 플랫폼 자산을 모두 인출했다고 설명했다.
(https://mirror.xyz/concentrictreasury.eth/duXXwBErblGw4CjbsA2JPoRAJqVNsDtiUsK4R6_vhD0)
GMEE
2024년 1월 23일, 블록체인 게임 플랫폼 GMEE는 트위터를 통해 폴리곤(Polygon) 기반 GMEE 토큰 컨트랙트가 몇 시간 전 GitLab에 무단 접근당해 6억 개의 GMEE 토큰이 탈취되었으며, 이로 인한 손실은 약 700만 달러라고 밝혔다. 이후 공격자는 토큰을 이더리움과 MATIC으로 교환했으며, 이후 수시간 동안 다양한 DEX를 통해 탈취한 토큰을 거래하면서 각 거래소의 GMEE 토큰 가격에 영향을 미쳤다.
(https://twitter.com/GAMEEToken/status/1749652962849464727)
Nebula Revelation
2024년 1월 25일, 우주를 주제로 한 오픈월드 Web3 게임 Nebula Revelation의 스테이킹 컨트랙트가 재진입(Reentrancy) 공격을 받았다. 1월 28일, Nebula Revelation은 보상 계획을 공개하며 전액 보상을 약속하고, 피해 발생 이전의 가격 기준으로 보상함으로써 공정성을 확보하겠다고 밝혔다.
(https://twitter.com/NBLGAME/status/1751580737768456594）
Somesing
2024년 1월 27일, 한국의 Web3 소셜 음악 서비스 Somesing은 지난 주 토요일 플랫폼이 취약점 공격을 받아 7.3억 개의 SSX 토큰(약 1158만 달러)을 유실했다고 발표했다. Somesing은 "이번 해킹 사건이 Somesing 팀원 누구와도 관련이 없음을 확인했으며, 공격 방식을 고려하면 가상자산을 전문적으로 공격하는 해커에 의해 발생했을 가능성이 크다"고 밝혔다. 해당 플랫폼은 국가경찰청에 수사를 요청했으며 국제형사경찰기구(인터폴)에도 통보할 예정이라고 전했다.
Goledo Finance
2024년 1월 28일, Conflux 생태계 대출 프로토콜 Goledo Finance가 공격을 받아 790만 CFX(약 170만 달러)를 유실했다. Goledo 팀은 대출 풀에서 발생한 대규모 대출에 대한 초기 조사를 완료했으며, 이번 공격이 플래시론과 관련이 있음을 확인했다.
(https://twitter.com/GoledoFinance/status/1751442740200517984)
Abracadabra Money
2024년 1월 31일, DeFi 프로토콜 Abracadabra Money(MIM_Spell)가 공격을 받아 약 650만 달러의 손실이 발생했다. 이후 Abracadabra.Money(MIM_Spell)는 트위터를 통해 기술팀이 취약점 원인을 확인했다고 발표하며, 특정 Cauldrons V3 및 V4에서 무단으로 MIM을 차용할 수 있는 문제가 있었으며, 현재 이러한 cauldron의 대출 한도를 0으로 설정해 문제를 완화했다고 밝혔다. 팀은 DAO 금고가 영향을 받은 650만 달러 전액을 담보로 제공하여 안전한 운영을 보장할 것이라고 강조했다.
(https://twitter.com/MIM_Spell/status/1752723973891059807)
Ripple
2024년 1월 31일, 체인상 탐정 ZachXBT가 공개한 바에 따르면 Ripple이 해킹을 당해 2.13억 XRP(약 1.125억 달러)가 탈취되었다. Ripple 공동창립자 크리스 라슨은 트위터를 통해 "어제 나의 일부 개인 XRP 계정( @Ripple 계정 아님)이 공격받았으나 곧바로 문제를 발견하고 거래소에 영향을 받은 주소를 동결하도록 요청했다. 법 집행기관이 이미 개입했다"고 밝혔다.
(https://twitter.com/chrislarsensf/status/1752702297971532258?s=20)
요약
이번 달에는 DDoS 공격이 5건 발생했으며, 프로젝트 측에서는 네트워크 모니터링 도구를 배포하고 정기적으로 트래픽을 분석하여 비정상적인 트래픽과 잠재적 공격을 조기에 식별할 필요가 있다. 또한 러그풀(Rug Pull) 사고는 17건으로 전체 보안 사고의 약 30%를 차지하며 약 526만 달러의 손실을 초래했다. 사용자는 프로젝트 참여 전 출처와 팀 구성원을 충분히 조사하고 신중하게 투자 결정을 내려야 한다. 플래시론 공격은 3건 발생하여 약 635만 달러의 손실을 유발했으며, 슬로우미스트 보안 팀은 프로젝트들이 항상 경계를 늦추지 말고 정기적인 보안 감사를 실시하며 새로운 보안 위협과 취약점을 지속적으로 추적하고 해결하여 자산과 프로젝트의 안전을 최대한 보호해야 한다고 권고했다.
TechFlow 공식 커뮤니티에 오신 것을 환영합니다
Telegram 구독 그룹:https://t.me/TechFlowDaily
트위터 공식 계정:https://x.com/TechFlowPost
트위터 영어 계정:https://x.com/BlockFlow_News
@SlowMist_Team
