2023 년 7 월 31 일

커브 금융 해킹의 여파

게시: 31년 2023월 2일 오전 14:31 업데이트: 2023년 2월 37일 오전 XNUMX:XNUMX

수정 및 사실 확인 날짜: 31년 2023월 2일 오전 14시 XNUMX분

탈 중앙화 금융DeFi) 산업은 또 다른 중대한 좌절에 직면했습니다. 곡선 금융, 저명한 DeFi 프로토콜이 30월 47일에 악용되어 0.2.15만 달러가 넘는 손실이 발생했습니다. 이 사건은 Curve Finance의 여러 안정 풀이 사용하고 있던 Vyper 버전 0.2.16, 0.3.0 및 XNUMX의 재진입 취약성으로 인해 발생했습니다.

취약점

익스플로잇의 주요 원인은 EVM(Ethereum Virtual Machine)을 대상으로 하는 계약 지향 Python 프로그래밍 언어인 Vyper의 특정 버전에 대한 재진입 잠금의 오작동이었습니다. 이 프로그래밍 언어는 Python 개발자가 다음으로 전환하는 데 선호되는 선택입니다. Web3 파이썬과 유사하기 때문입니다.

초기 조사에서 이러한 Vyper 컴파일러 버전이 재진입 가드를 올바르게 구현하지 않는 것으로 나타났습니다. 재진입 공격은 계약이 잠겨 있을 때 발생하여 여러 기능이 동시에 실행되는 것을 방지합니다. 올바르게 구현되지 않으면 잠재적으로 계약에서 모든 자금이 소모될 수 있습니다. 보안 회사인 Ancilia는 다음을 사용하여 136개의 계약을 식별했습니다. Vyper 0.2.15, Vyper 98을 사용하는 0.2.16개의 계약, 재진입 보호 기능이 있는 Vyper 226을 사용하는 0.3.0개의 계약.

곡선 핵

여러 DeFi 프로젝트는 이 공격의 영향을 받아 상당한 유출로 이어졌습니다. 예를 들어, 생략탈중앙화 거래소인 는 BNB가 있는 몇 개의 안정적인 풀이 오래된 Vyper 컴파일러를 사용하여 악용되었다고 보고했습니다. Alchemix의 alETH-ETH는 13.6만 달러의 유출을 보았습니다. JPEGd의 pETH-ETH 풀은 11.4만 달러에 악용되었고 Metronome의 sETH-ETH 풀은 1.6만 달러를 잃었습니다.

Vyper 0.2.15를 사용하는 다수의 스테이블 풀(alETH/msETH/pETH)이 오작동하는 재진입 잠금의 결과로 악용되었습니다. 우리는 상황을 평가하고 상황이 발전함에 따라 커뮤니티를 업데이트할 것입니다.

다른 수영장은 안전합니다. https://t.co/eWy2d3cDDj
— 커브 파이낸스(@CurveFinance) 2023 년 7 월 30 일

이러한 공격에 이어, 마이클 에고 로프, Curve Finance의 CEO는 32만 달러 이상의 가치가 있는 22만 개 이상의 CRV 토큰이 스왑 풀에서 빠져나갔다고 확인했습니다. 이 확인은 전 세계에 걸친 패닉의 여파로 나왔습니다. DeFi 생태계를 통해 풀 전반에 걸친 수많은 거래와 흰 모자의 구조 작전으로 이어집니다.

CoinMarketCap 데이터에 따르면 Curve Finance의 유틸리티 토큰인 Curve DAO(CRV)는 뉴스에 대한 반응으로 5% 이상 하락했습니다. CRV의 유동성은 최근 몇 달 동안 크게 감소하여 격렬한 가격 변동이 발생하기 쉽습니다.

상당한 피해에도 불구하고 Curve Finance는 crvUSD 계약 및 관련 풀이 악용의 영향을 받지 않는다고 확신했습니다. 해킹의 여파로 Curve Finance는 사건을 확인하고 풀을 제때 확보할 수 없었다고 인정했습니다. Etherscan에서 볼 수 있는 단일 트랜잭션이 익스플로잇을 확인했습니다.

Etherscan 거래

문맥

이 익스플로잇은 Curve Finance를 대상으로 한 일련의 사건 중 가장 최근에 발생한 것입니다. 불과 며칠 전, 공격자는 다음의 옴니풀 플랫폼을 악용했습니다. 코닉 파이낸스, Ether(ETH)에서 3.26만 달러를 벌었습니다. 가해자는 한 번의 신속한 거래로 거의 모든 도난 금액을 새로운 이더리움 주소로 옮겼습니다.

우리는 현재 ETH Omnipool과 관련된 익스플로잇을 조사하고 있으며 가능한 빨리 업데이트를 공유할 것입니다.
— 코닉 파이낸스(@ConicFinance) 2023 년 7 월 21 일

Curve Finance 해킹은 다음과 같은 광범위한 공격 패턴의 일부입니다. DeFi 프로토콜. 의 보고서에 따르면 Web3 포트폴리오 앱, De.Fi, DeFi 해킹 및 사기로 인해 204년 2023분기에만 XNUMX억 XNUMX만 달러 이상의 손실이 발생했습니다.

상환 및 반환

사건의 결과로 Curve 설립자는 신속하게 행동하여 4.63만 USDT를 상환하고 16만 CRV($10.12M에 해당)를 예치했습니다. Aave. 현재 그는 Aave에 293억 181만 CRV(59.68억 1.69만 달러 상당)의 담보와 XNUMX만 USDT의 부채를 보유하고 있으며 건강 이자율은 XNUMX입니다.

에이브 프로필

예상치 못한 상황에서 다음과 같은 암호 사용자가 c0ffeebabe.eth Curve 배포자에게 2,879 ETH(약 $5.4m)를 반환했습니다. 이 이벤트는 해킹으로 인한 손실의 일부를 완화했습니다.

Etherscan에서 트랜잭션 반환

후 #곡선 해킹당했다, 설립자 #curvefi 상환액 4.63만 $ USDT 16M 입금 $ CRV ($10.12M) 에 #아베.

그는 현재 293M $ CRV ($181M) 담보 및 59.68M $ USDT 부채의 #아베, 건강률은 1.69입니다.https://t.co/stkFvDrlnv pic.twitter.com/tzYlt9Vmfk
— 룩온체인(@lookonchain) 2023 년 7 월 31 일

여파

조사관은 또한 Curve 해킹과 관련하여 해커의 주소와 악용된 자금의 양을 확인했습니다. 지금까지 악용된 총 금액은 약 $52M입니다.

해커의 주소:

0xdce5d6b41c32f578f875efffc0d422c57a75d7d8: 7,259 ETH ($13.5M), related to AlchemixFi
0x6ec21d1868743a44318c3c259a6d4953f9978538

이러한 사건을 통해 다음이 분명해졌습니다. DeFi 프로토콜은 유망하지만 여전히 취약점을 가지고 있습니다. 프로토콜과 사용자 모두 최선의 보안 관행을 구현하고 준수하는 데 있어 경계심을 갖고 사전 대응적으로 행동해야 합니다.

전례 없는 이벤트

정말 암호 화폐에서 미친 날이었습니다. 많은 암호화 애호가들이 Base에서 도박을 하고 있는 동안 Curve 해킹이 발생하여 해커의 손에 32만 개의 CRV 토큰이 남겨졌습니다. 더욱 충격적인 것은 설립자가 부채를 상환하기 위해 노력했지만 Aave에서 $100 USD로 $0.42M CRV 청산 가능성이었습니다.

암호 화폐의 미친 날.

Degens가 Base에서 도박을 하는 동안 Curve는 해커의 손에 있는 32M CRV 토큰으로 해킹됩니다.

설상가상으로 Aave에서 $100 USD에 $0.42M CRV 청산이 있지만 설립자는 현재 부채를 상환하고 있습니다.

🤞 pic.twitter.com/9s0JSrNYgt
— 이그나스 | DeFi 연구 (@Defi이그나스) 2023 년 7 월 30 일

곡선 핵 Analysis

Curve Finance 해킹에 대한 먼지가 쌓이면서 생태계에 대한 전체적인 영향이 명확해지고 있습니다. 공격으로 인해 큰 타격을 입었습니다. DeFi 생태계, 특히 직접적인 결과를 겪은 토큰에 영향을 미칩니다. 예를 들어 CRV 익스플로잇으로 인해 여러 토큰의 가치가 30% 이상 손실되었습니다.

손실된 자금 중 일부를 상환하기 위한 Curve 창립자의 신속한 대응과 제XNUMX자에 의한 예상치 못한 자금 반환, 그리고 훔친 자금을 잃어버린 해커의 아이러니한 반전으로 인해 상황이 약간 완화되었습니다. 그럼에도 불구하고 이 사건은 스마트 계약과 더 넓은 범위의 잠재적인 취약점을 일깨워주는 역할을 합니다. DeFi 공간.

내부 프로젝트에 중요합니다. DeFi 보안 조치에 지속적으로 투자하고 스마트 계약을 감사하며 가능한 악용에 대한 비상 계획을 수립할 수 있는 공간입니다. 사용자는 또한 경계해야 하며 다음과 상호 작용할 때 위험 요소를 고려해야 합니다. DeFi 플랫폼.

Curve Finance 해킹은 혁신적이고 높은 보상의 잠재력이 DeFi 부문 역시 상당한 위험을 안고 있습니다. 해당 분야가 성숙해짐에 따라 개발자와 조직은 강력한 보안 조치를 표준 관행으로 채택하여 향후 이러한 악용 가능성을 배제할 것으로 기대됩니다.

더 읽기 :

태그 :

책임 부인

줄 안 트러스트 프로젝트 지침, 이 페이지에 제공된 정보는 법률, 세금, 투자, 재정 또는 기타 형태의 조언을 제공하기 위한 것이 아니며 해석되어서도 안 됩니다. 손실을 감수할 수 있는 만큼만 투자하고 의심스러운 경우 독립적인 재정 조언을 구하는 것이 중요합니다. 자세한 내용은 이용약관은 물론 발행자나 광고주가 제공하는 도움말 및 지원 페이지를 참조하시기 바랍니다. MetaversePost 는 정확하고 편견 없는 보고를 위해 최선을 다하고 있지만 시장 상황은 예고 없이 변경될 수 있습니다.

저자에 관하여

Nik은 뛰어난 분석가이자 작가입니다. Metaverse Post, 특히 AI/ML, XR, VR, 온체인 분석 및 블록체인 개발에 중점을 두고 급변하는 기술 세계에 대한 최첨단 통찰력을 제공하는 것을 전문으로 합니다. 그의 기사는 다양한 청중을 참여시키고 정보를 제공하여 그들이 기술 곡선보다 앞서 나갈 수 있도록 돕습니다. 경제 및 관리 석사 학위를 보유한 Nik은 비즈니스 세계의 뉘앙스와 신기술과의 교차점을 확실히 이해하고 있습니다.

더 많은 기사

닉 아스티