7월 보안 월간 보고서 | 개인키 유출로 인한 손실, 전체 손실의 약 88% 차지, 2.6억 달러 이상

2024.08.01

7월 보안 월간 보고서 | 개인키 유출로 인한 손실, 전체 손실의 약 88% 차지, 2.6억 달러 이상

7월 한 달 동안 전 세계적으로 누적된 손실액은 약 2.9억 달러였으며, 이 중 개인 키 유출로 인한 손실이 전체의 88.31%를 차지했다. 특히 와지르엑스(WazirX)는 멀티시그 지갑의 개인 키 유출로 약 2.35억 달러의 손실을 입어 7월 최대 보안 사건이 되었다.

2024.08.01 - 10:19:35

Web3 심층 보도에 집중하고 흐름을 통찰

7월 전 세계에서 누적된 손실은 약 2.9억 달러이며, 이 중 개인키 유출로 인한 손실이 전체의 88.31%를 차지했다. 특히 WazirX는 다중 서명 지갑의 개인키 유출로 인해 약 2.35억 달러의 손실을 입었으며, 이는 7월 최대 보안 사건이다.

최대 보안 사건 - 개인키 유출

7월 18일, WazirX의 다중 서명 지갑 개인키가 유출되어 약 2.35억 달러의 손실이 발생했다.

최대 보안 사건 - 피싱 사기

7월 24일, ETH 체인 상 주소 0x07...fDC9가 Pendle 리스테이킹 토큰 약 469만 달러어치를 도난당했다.

최대 보안 사건 - REKT

7월 16일, LiFi Protocol의 크로스체인 브릿지 어그리게이터 프로토콜이 공격을 받아 약 1천만 달러의 손실이 발생했다. 공격자는 임의 호출 취약점을 이용해 해당 계약에 자산을 위임한 사용자의 자산을 탈취할 수 있었다.

최대 보안 사건 - 럭풀(RugPull)

7월 21일, ETH TrustFund에서 럭풀이 발생했으며, Base 체인에서 약 200만 달러 상당의 암호화폐를 훔쳐갔다.

사례 분석

7월 15일, Minterest는 Mantle 네트워크에서 심각한 보안 사고를 겪었으며, 이로 인해 약 140만 달러의 손실이 발생했다. 현재 해당 프로젝트 팀은 프로토콜 운영을 일시 중단했다.

공격 절차 분석:

1) Mantle DEX의 USDY/USDT 풀에서 플래시론으로 426.5만 USDY를 대출받음;

콜백 함수 내에서 총 25회 반복하여 FlashLoan 및 Redeem Underlying 작업 수행;

2) mUSDY 마켓에서 39.27만 USDY를 플래시론으로 대출받음;

콜백 함수 내에서 wrap 및 lendRUSDY 두 가지 메서드 호출;

3) 426.5만 USDY를 예치하고 share price 기준으로 447.3만 mUSD를 교환함;

4) 이전 단계에서 얻은 447.3만 mUSD 샤어 토큰을 담보로 2,747,677만 mUSDY를 대출받음;

단계 1: 447.3만 mUSD 샤어 토큰 입금;

단계 2: 447.3만 mUSD를 unwrap하여 426.5만 USDY로 되돌린 후 mUSDY 마켓 컨트랙트에 보관;

단계 3: 사용자에게 2,747,677만 mUSDY 전송;

5) 바닥 자산(underlying asset)인 USDY를 회수함. 해커는 426.5만 USDY를 회수하기 위해 필요한 Redeem 토큰(mUSDY) 수량을 계산한 결과, 실제로는 2,566,963만 mUSDY만 상환하면 되므로, 180,714만 mUSDY를 남길 수 있게 됨;

6) 위 단계들을 약 25회 반복한 후, 해커는 약 140만 달러의 이득을 취했다.

OKLink 팁

7월 한 달간 전 세계에서 발생한 누적 손실은 약 2.9억 달러로, 전월 대비 38.01% 증가했다. 이 중 개인키 유출로 인한 손실이 88.31%를 차지한다. OKLink는 사용자들에게 개인키나 복구 문구(seed phrase)를 누구에게도 알려주지 말고, 스크린샷 등으로 저장하거나 기억하지 않도록 당부한다. 검증되지 않은 링크는 클릭하지 말아야 하며, 보안 의식은 Web3 세계에서 자신을 보호하는 중요한 방어선이다.

Web3 체인 상 도구는 이제 리스크를 회피하는 중요한 수단이 되었다. OKLink는 주소 조회 및 모니터링, 체인 상 데이터 알림, 개인 라벨 설정 등의 도구를 제공하며, 다양한 데이터 비교를 통해 모든 거래를 안전하게 지원한다.

또한 OKLink는 EaaS(Explorer-as-a-Service, 블록 탐색기 서비스형)를 출시하였다. 이는 프로젝트 팀이 직면하는 과제를 해결하기 위한 확장 가능한 솔루션으로, 무비용 설정, 신속한 배포, 다중 체인 지원, 고급 블록 분석 및 개방형 API 등의 기능을 제공한다.