2023년 암호화폐 해킹 및 취약점 익스플로잇 상위 10가지 정리

저자: 비샬 차울라, 더 블록, 파인 스노우 편집, 골든 파이낸스

수년 동안 암호화폐 업계는 해커와 프로토콜 취약점으로 인해 어려움을 겪어왔습니다.

이 같은 추세는 2023년까지 계속될 것입니다. 하지만 좋은 소식은 해킹이 전년 대비 50% 이상 감소했다는 것입니다.

TRM Labs의 데이터에 따르면 올해 해커들이 탈취한 암호화폐 자금은 17억 달러로 추정되며, 이는 2022년에 기록한 40억 달러의 절반에도 미치지 못하는 금액입니다. 전반적인 손실액 감소에도 불구하고 개별 프로젝트에서는 여전히 거액의 자금이 도난당했습니다.

올해에는 멀티체인, 오일러 파이낸스, 믹스인 네트워크, 아토믹 월렛과 같은 유명 기관에 영향을 미친 해킹이 다수 발생했습니다.

11월에는 트론 설립자 저스틴 선과 관련된 세 개의 암호화폐 프로젝트인 폴로닉스, HTX, 헤코 브릿지가 총 2억 달러 이상의 손실을 입었습니다. 2억 달러 이상을 잃었습니다.

이러한 사건에서 반복되는 문제는 범죄자가 사용자 자금에 접근할 수 있는 개인 키 취약점과 관련이 있습니다. 한 해 동안 북한 해킹 그룹 라자루스는 총 3억 달러 이상의 손실을 초래한 여러 공격을 수행했습니다.

이 게시물에서는 올해 가장 큰 규모의 암호화폐 도난 사건에 대해 자세히 살펴보고, 피해를 입은 프로젝트와 각 공격의 원인을 분석합니다.

믹신 네트워크 - 2억 달러

홍콩에 기반을 둔 암호화폐 프로젝트 믹신 네트워크는 올해 가장 큰 암호화폐 유출 사고를 당했습니다. 공격을 받았습니다.

9월 23일, 해커들이 사용자들의 핫월렛에서 2억 달러라는 엄청난 금액을 훔쳐간 후 믹신은 갑작스럽게 운영을 중단해야 했습니다.

믹신은 "클라우드 서비스 제공업체의 데이터베이스가 해킹당했다"고 밝혔습니다. 믹신은 자세한 설명을 제공하지 않았지만, 분석가들은 영향을 받은 데이터베이스에 사용자 계정의 개인 키, 즉 사용자가 보유한 암호화폐의 잠금을 해제하는 니모닉 문구가 저장되어 있을 수 있다고 생각합니다.

을러 파이낸스 - 1억 9,700만 달러

2023년 3월 대출 프로토콜인 오일러에 대한 공격만큼 디파이의 대담함과 취약성을 생생하게 보여주는 사건도 드뭅니다. 당시 1억 9,700만 달러 상당의 암호화폐가 이상한 수법으로 사라졌습니다.

범인은 누구였을까요? 한 해커가 대출 프로토콜의 취약점을 악용하여 오일러가 발행한 스테이블코인인 eDAI와 dDAI의 환율을 조작했습니다. 공격자는 DAI를 사용하여 "donateToReserves" 함수를 반복적으로 호출함으로써 eDAI/dDAI 환율을 부풀릴 수 있었습니다.

공격자들은 플래시 대출(동일한 이더리움 거래에서 상환하는 대출)을 사용하여 두 토큰을 보유한 유동성 풀의 잔액을 교란시켰습니다. 이로 인해 dDAI로 표시된 차입자 포지션의 청산이 촉발되어 계약에서 자금이 빠져나갔습니다.

그러나 이야기는 여기서 끝나지 않습니다. 나중에 공격자들은 '화이트 해팅'이라고 알려진 행위를 통해 훔친 자금을 돌려주었습니다. 전리품의 일부를 제외한 거의 모든 현상금이 팀에 반환되어 피해자들을 구제할 수 있었습니다.

멀티체인 - 1억 2,500만 달러

7월에는 크로스체인 브리지 멀티체인이 지원하는 여러 블록체인에서 1억 2,500만 달러 상당의 암호화폐를 탈취당한 것으로 알려졌으며, 가장 많은 금액을 받은 곳은 팬텀이었습니다. 이는 '예기치 못한 상황으로 인한 여러 가지 문제'로 인해 브리지가 중단된 직후에 발생한 일입니다.

현재까지는 결정적인 사후 조사가 이루어지지 않았기 때문에 해킹의 정확한 원인은 아직 밝혀지지 않았습니다.

보안업체 Halborn은 해커가 코드의 버그를 악용하여 브리지 스마트 컨트랙트의 개인 키가 손상되었을 가능성이 있다고 설명합니다.

해킹이 발생하기 전 멀티체인의 최고 경영자인 자오 준이 실종된 것을 계기로 팀 자체가 이번 사건에 책임이 있을 수 있다는 우려도 제기되고 있습니다.

이 사건이 발생하기 전에 그는 중국 당국에 체포되었고, 그가 프로토콜의 자금을 독점적으로 통제하고 있다는 사실이 드러나면서 멀티체인의 탈중앙화 주장과는 모순되는 결과를 낳았습니다. 멀티체인은 더 이상 운영되지 않습니다.

폴로닉스 - 1억 2천만 달러

2023년 11월, 북한의 라자루스 그룹으로 의심되는 해커들이 폴로닉스의 핫월렛에서 1억 2천만 달러라는 어마어마한 금액을 훔쳤는데, 대부분 개인 키에 대한 접근을 통해 이루어졌을 가능성이 높습니다.

거래와 인출이 중단되는 등 즉각적인 여파는 예상할 수 있었습니다. 거래소는 피해를 입은 사용자들에게 보상을 제공하겠다고 밝혔습니다. 폴로닉스는 2014년부터 중앙화된 거래소로 운영되어 왔으며, 트론의 설립자 저스틴 선은 2019년에 이 거래소를 인수했습니다.

2023년 6월, 암호화폐 지갑 앱 아토믹 사용자의 지갑 계정이 비워졌습니다. 해커들은 약 5,500명의 사용자로부터 1억 달러 이상의 자산을 탈취했습니다. 아토믹은 아직까지 사건의 주요 원인에 대해 설명하지 않고 있습니다.

이 사건이 발생하기 1년 전에 레스트 오소리티의 보안 분석가들이 발견한 코드 취약점으로 인해 침해가 발생했을 것으로 추정됩니다. 슬로우 포그의 분석가들도 잠재적인 문제를 확인했습니다.

온체인 분석 업체인 Elliptic은 공격의 표적이 된 5,500개 이상의 지갑을 추적한 결과, 북한 해커 단체인 라자루스 그룹이 공격의 배후에 있다고 밝혔습니다.

지난 8월, 러시아의 한 피해자 그룹은 사용자 자산을 보호하지 않았다는 이유로 아토믹을 상대로 집단 소송을 제기했습니다. 몇 달 후, 아토믹은 미국 법원에 소송을 기각해 달라는 신청서를 제출했습니다.

헤코 브리지, HTX - 9,900만 달러

11월, HTX 거래소가 구축한 블록체인인 헤코의 메인 크로스체인 브리지에서 대규모 침해 사고가 발생했습니다. 공격자들은 크로스 체인 브리지의 주요 스마트 컨트랙트 또는 운영자 계정을 장악하여 8,600만 달러가 넘는 다양한 암호화폐를 도난당했습니다.

초기 분석에 따르면 침입자들은 크로스 체인 브리지의 스마트 컨트랙트 코드를 조작하고 보안 프로토콜을 우회한 것으로 나타났습니다. 이러한 조작을 통해 해커는 브리지 계약을 통해 승인되지 않은 토큰을 발행할 수 있었고, 이 토큰은 이더로 교환되어 크로스체인 브리지 외부로 전송되었습니다.

HTX(구 파이어코인)의 핫월렛도 1,200만 달러의 손실을 입었습니다. HTX 컨설턴트이자 트론의 설립자인 저스틴 선은 공격자들에게 화이트햇 현상금을 제안했다고 말했습니다. 이 제안은 수락된 것으로 보이며, 플랫폼은 도난당한 1,200만 달러 중 800만 달러를 회수했습니다.

커브 - 7,300만 달러

7월에는 디파이의 최대 탈중앙화 거래소 중 하나인 커브 파이낸스(Curve Finance)가 공격을 받았습니다. 이 거래소가 사용하는 바이퍼 프로그래밍 언어의 취약점으로 인해 플랫폼의 여러 유동성 풀이 악용되어 해커들이 약 7,300만 달러의 다양한 암호화폐 자산을 탈취했습니다.

이 보안 결함으로 인해 공격자는 스마트 컨트랙트 로직을 사용하여 악의적으로 자금을 유출할 수 있었습니다. 여기에는 해커가 스마트 컨트랙트를 조작하여 연속적으로 자금을 인출하는 재진입 공격이 포함되었습니다.

바이퍼 내 재진입 가드가 오작동한 것이 공격의 원인이었습니다. 커브 팩토리 풀을 기반으로 구축된 프로젝트(JPEG'd, 메트로놈, 알케미믹스 포함)가 영향을 받았습니다.

커브 팀은 신속하게 취약점을 수정하고 궁극적으로 약 5천만 달러(도난당한 자금의 70%)를 회수하여 많은 사용자와 이해관계자의 우려를 덜어주었습니다. 회수된 자금은 윤리적 해커가 직접 반환하거나 c0ffeebabe.eth와 같은 MEV 봇 운영자의 도움을 받아 저장되었습니다.

코인엑스 - 5,500만 달러

9월에는 홍콩에 본사를 둔 중앙집중식 암호화폐 거래소인 코인엑스가 대규모 해킹을 당한 것으로 보고되었습니다. 해커들은 즉각적인 거래를 위해 설계된 이 거래소의 핫월렛에 침투해 5,500만 달러가 넘는 다양한 암호화폐를 빼돌렸습니다.

이 사건의 배후로 북한 단체 라자루스가 또다시 의심받고 있습니다. 수사관들은 코인엑스 해킹과 베팅 플랫폼 스테이크닷컴에서 발생한 또 다른 도난 사건 사이의 연관성을 발견했으며, FBI는 라자루스 해킹 그룹과 관련이 있다고 밝혔습니다. 분석 결과, 스테이크닷컴에서 도난당한 자금을 받은 지갑 주소가 코인엑스 해커의 지갑과 직접적인 상호작용을 한 것으로 나타났습니다.

KyberSwap - 5,400만 달러

탈중앙화 거래소(DEX) 애그리게이터인 카이버스왑이 Elastic 플랫폼에 대한 공격을 통해 약 5,400만 달러의 암호화폐를 탈취당했습니다. 5,400만 달러의 암호화폐를 훔쳤습니다.

11월 22일에 발생한 이 공격은 카이버의 중앙화된 유동성 풀의 규모 구간 경계에 있는 취약성에서 비롯되었으며, 범죄자들은 인위적으로 유동성을 두 배로 늘리고 그 가치를 고갈시킬 수 있었습니다.

사이버는 협상을 시도하면서 해커에게 자금을 반환하는 대가로 10%의 화이트햇 현상금을 제시했습니다. 그러나 해커는 현상금 수락에 관심이 없었고, 이상한 온체인 메시지를 통해 프로젝트의 모든 권한을 팀에 넘겨달라는 등 다른 요구를 했습니다.

팀은 이와 별도로 타사 MEV 봇이 도용한 470만 달러의 자금을 회수했습니다.

Stake.com - 4,100만 달러

암호화폐 기반 게임 플랫폼인 스테이크닷컴은 지갑의 개인 키 익스플로잇으로 인해 피해를 입었습니다. 2023년 9월 4일, 이 플랫폼에서 약 4,100만 달러 상당의 암호화폐가 도난당했습니다.

미국 연방수사국(FBI)은 보고서를 통해 스테이크닷컴에서 도난당한 자금을 받은 이더리움, BNB 체인, 폴리곤 네트워크의 주소를 분석한 결과 라자루스가 공격의 배후로 지목했습니다.