해커는 LP 취약점을 사용하여 Osmosis 거래에서 500만 달러를 훔쳤고 일부 해커는 신속하게 200만 달러를 반환했습니다.

Cosmos 네트워크에 구축된 분산형 거래소(DEX)인 Osmosis는 공격자가 유동성 공급자(LP) 취약점을 악용하고 약 500만 달러를 훔친 후 수요일 오전 3시 직전에 폐쇄되었습니다.

이 취약점은 Reddit의 공식 Cosmos Network 페이지에 있는 스레드에서 처음 발견되었습니다. 사용자 Straight-Hat3855는 유동성을 추가하고 제거하는 것만으로 사용자가 임의로 LP를 50% 늘릴 수 있는 Osmosis(OSMO)의 "심각한 문제"에 주목했습니다. Reddit의 게시물은 신속하게 삭제되었지만 악의적인 행위자가 취약점을 악용하여 Osmosis 거래소의 유동성 풀에서 약 500만 달러를 훔쳐갔습니다.

Osmosis 블록체인 브라우저인 Mintscan의 발표에 따르면 Osmosis 거래소는 취약점이 악용되어 LP 취약점이 확인된 후 블록 높이 4,713,064에서 멈췄습니다.

프로젝트 관리자 RoboMcGobo는 Osmosis Discord의 일련의 게시물에서 취약점이 어떻게 작동하는지 설명했습니다. 그는 버그로 인해 공격자가 Osmosis LP에 유동성을 추가한 다음 즉시 인출하고 초기 예치금의 150% 수익을 받을 수 있었던 방법을 자세히 설명했습니다.

RoboMcGobo는 수요일 오후 4시 직후에 "본질적으로 이 기능은 50% 더 많은 LP 공유를 제공합니다."라고 덧붙였습니다.

RoboMcGobo는 이 취약점이 "소수의 사용자가 의도적으로 악용한 것"이며 "소수의 사용자가 의도하지 않게 악용한 것으로 보인다"고 설명했습니다. Osmosis의 트윗에 따르면 4명의 해커가 전체 공격량의 95%를 차지했으며 공격자 중 2명은 훔친 자금을 자발적으로 반환했습니다.

Osmosis가 공격에 대해 트윗한 지 약 1시간 후, Cosmos 생태계의 유효성 검사자인 FireStake는 트위터에서 "일시적인 판단 착오"로 인해 그의 팀원 2명이 이 버그를 악용하여 약 200만 달러의 수입을 얻었다고 인정했습니다.

Firestake는 1,700명의 트위터 팔로워에게 허점을 계속 악용하면서 "[그들] 가족의 미래에 대해 생각하고 있다"고 말했습니다. 하지만 해당 사안에 대해 "밤새도록 초조해했다"고 인정한 뒤 자진해서 자금을 반환하고 "문제 해결"을 하기로 했다.

Osmosis 공동 창립자 Sunny Aggarwal의 게시물에 따르면 다른 두 명의 해커가 중앙 집중식 거래소에서 일련의 거래를 수행했으며 Aggarwal은 이를 통해 추적이 더 쉬워질 것이라고 믿습니다.

RoboMcGobo는 프로젝트의 Discord에 대한 Aggarwal의 주장을 되풀이했습니다.