취약점을 이용한 전략 실행 도구를 통해 사용자의 안전 지갑에서 7.8만 달러 상당의 rsETH가 유출되었습니다.
블록체인 보안 회사 차단제, 펙쉴드예산 및 블록섹 Gnosis Safe는 이더리움 지갑에서 약 7.8만 달러 상당의 rsETH(약 2,900개 토큰)가 유출된 해킹 사건을 확인했습니다. 해당 사건은 UTC 기준 오전 04시 38분에 대부분의 자금이 이체되는 대규모 거래로 시작되었으며, 이후 한 시간 동안 추가로 약 160,000만 달러가 더 유출되는 소액 거래가 여러 차례 발생했다고 회사 측은 밝혔습니다.
근본 원인은 실행자 계약의 권한 확인 과정에 결함이 있었던 것으로 분석가들은 이를 주소 0x4f0055926c839D1d960a82CBF84E2eE933958ebC로 식별했습니다.
대규모 레버리지 rsETH 보유자가 소유한 해당 Safe는 화이트리스트에 등록된 전략 실행 모듈을 사용했는데, 이 모듈은 레시피 진입점을 노출했습니다. 이 진입점은 외부 호출자를 차단하지 않고 operation=1(DELEGATECALL)을 사용하여 호출자가 제공한 모든 호출 데이터를 Safe의 execTransactionFromModuleReturnData 함수로 전달했습니다. 제공된 계약 매개변수를 실행자 자신의 주소로 설정하는 것이 유효성 검사를 통과했기 때문에, 진입점에 접근할 수 있는 사람은 누구나 Safe의 컨텍스트 내에서 임의 코드를 실행할 수 있었고, 결과적으로 Safe 자산에 대한 완전한 제어권을 확보할 수 있었습니다.
공격자는 공개 키퍼 멀티콜을 사용하여 승인된 Uni V4 LP Safe 모듈을 공격자가 만든 후킹된 Uniswap V4 풀로 라우팅하고, Permit2와 PositionManager를 통해 실행했습니다. 공격자는 "Permissionless Attacker Token"(PAT)이라는 가치 없는 토큰을 배포하고 약 2,900 aEthrsETH를 유동성으로 공급했습니다. 풀에 있는 커스텀 훅은 aEthrsETH를 rsETH로 언래핑하여 Safe에서 빼냈고, Safe에는 가치 없는 LP만 남게 되었습니다. NFT.
MEV 봇, 공격 선제 공격에 대응; KelpDAO, 일시적 공격 중단 조치
주목할 점은 최초 공격 거래가 의도했던 수혜자에게 도달하지 못했다는 것입니다. 공격자는 공개 멤풀에 직접 익스플로잇을 실행했고, "yoink"라는 이름의 MEV 봇이 이를 가로채 약 2,882 rsETH(약 7.8만 달러 상당)를 가로채 0xC70f00CD7E461686b04B0E912E309becA8b80ea0 주소로 송금했습니다. 결과적으로 공격자가 아닌 MEV 봇이 훔친 자금을 가져간 것입니다.
이에 대해 KelpDAO는 수신 주소에서 의심스러운 활동이 감지되었다며 예방 차원에서 24시간 동안 거래를 일시 중단한다고 발표했습니다. 이 기간 동안 rsETH의 입출금이 중단됩니다. KelpDAO는 보안 전문가와 함께 조사를 진행 중이며, 이번 조치는 지갑 수준의 조치일 뿐이라고 강조했습니다. Kelp 컨트랙트는 안전하게 유지되고, rsETH는 온전히 담보되어 있으며, 모든 발행, 출금 및 통합 작업은 정상적으로 진행되므로 사용자는 별도의 조치를 취할 필요가 없습니다.
보안 분석가들은 이번 사건이 Safe의 핵심 계약이나 소유자 키의 취약점이 아니라, 특정 Safe 사용자에게 발생한 모듈 권한 남용이라고 강조했습니다. 그럼에도 불구하고 이번 사건은 스마트 계약 지갑 사용자들에게 지속적인 위험이 존재함을 보여줍니다. Safe의 핵심 프로토콜은 직접적인 취약점 공격을 받은 적은 없지만, 사용자들은 손상된 인프라와 취약한 타사 확장 프로그램으로 인해 자금을 잃는 사례가 반복적으로 발생해 왔습니다. 특히 2023년에는 주소 오염 공격으로 21명의 Safe 사용자가 2만 달러 이상을 도난당했습니다.
책임 한계
줄 안 트러스트 프로젝트 지침, 이 페이지에 제공된 정보는 법률, 세금, 투자, 재정 또는 기타 형태의 조언을 제공하기 위한 것이 아니며 해석되어서도 안 됩니다. 손실을 감수할 수 있는 만큼만 투자하고 의심스러운 경우 독립적인 재정 조언을 구하는 것이 중요합니다. 자세한 내용은 이용약관은 물론 발행자나 광고주가 제공하는 도움말 및 지원 페이지를 참조하시기 바랍니다. MetaversePost 는 정확하고 편견 없는 보고를 위해 최선을 다하고 있지만 시장 상황은 예고 없이 변경될 수 있습니다.
저자에 관하여
전담 저널리스트인 알리사(Alisa) MPost암호화폐, 인공지능, 투자 및 광범위한 분야를 전문으로 합니다. Web3. 새로운 트렌드와 기술에 대한 예리한 안목을 바탕으로 그녀는 끊임없이 진화하는 디지털 금융 환경에 대해 독자들에게 정보를 제공하고 참여시키기 위해 포괄적인 취재를 제공합니다.
더 많은 기사
전담 저널리스트인 알리사(Alisa) MPost암호화폐, 인공지능, 투자 및 광범위한 분야를 전문으로 합니다. Web3. 새로운 트렌드와 기술에 대한 예리한 안목을 바탕으로 그녀는 끊임없이 진화하는 디지털 금융 환경에 대해 독자들에게 정보를 제공하고 참여시키기 위해 포괄적인 취재를 제공합니다.
