개요

2024년 11월 웹3 보안 사고로 인한 총 손실액은 약 8,624만 달러에 달했습니다. 그 중 슬로우 포그 블록체인 해킹 아카이브(https://hacked.slowmist.io)에 따르면, 계약 취약점, 계정 해킹, 가격 조작 등으로 인해 21건의 해킹 사고가 발생하여 약 7,686만 달러의 손실이 발생했으며, 2,550만 달러가 반환되었습니다. 또한 Web3의 사기 방지 플랫폼인 Scam Sniffer에 따르면 이번 달에 9,208건의 피싱 피해자가 발생했으며 938만 달러의 손실이 발생했습니다.

(https://dune.com /scam-sniffer/november-scam-sniffer-2024-phishing-report)

Security Big Events

메타윈

2024년 11월 4일, 체인 슬루스 ZachXBT에 따르면 암호화폐 게임 플랫폼 메타윈이 공격을 받아 이더리움과 솔라나 체인에서 4백만 달러 이상을 도난당한 것으로 의심된다고 합니다. 이더리움과 솔라나 체인에서 400만 달러 이상이 도난당했습니다. 메타윈의 CEO 스켈에 따르면, 공격자들은 플랫폼의 마찰 없는 인출 시스템을 통해 메타윈의 핫월렛을 손상시켰다고 합니다.

델타프라임

2024년 11월 11일, 디파이 프로토콜인 델타프라임이 아발란체와 아비트럼의 공격을 받아 델타프라임에 475만 달러의 손실이 발생한 것으로 잠정 추산되었습니다. 이 공격의 근본 원인은 보상 수금 기능에 대한 입력 유효성 검사가 부족했기 때문입니다.

(https://x.com/ DeltaPrimeDefi/status/1855899502944903195)

Thala

2024년 11월 15일, 공격자들이 스마트 컨트랙트의 취약점을 악용한 앱토스 기반 탈중앙 금융 프로젝트 탈라가 공격을 받아 2,550만 달러를 도난당했습니다. 이 프로젝트는 문제의 스마트 컨트랙트를 중단하고 일부 토큰을 동결하여 결국 약 1,150만 달러의 자산을 동결하는 데 성공했습니다. 법 집행 기관 및 여러 블록체인 보안 팀과 협력한 끝에 프로젝트는 자산 회수에 대한 협상을 성공적으로 마무리하고 공격자에게 30만 달러를 현상금으로 지급했습니다.

(https://x.com/ thalalabs/status/1857703541089120541?s=46&t=bcMyidYO0QkS5ajIW9CBdg)

DEXX

< p style="text-align: 왼쪽;">2024년 11월 16일, 온체인 거래 터미널인 DEXX의 여러 사용자로부터 자금이 도난당했습니다. 슬로우 포그 보안팀에 따르면 이 사건으로 인한 손실 규모는 2,100만 달러에 달합니다. 현재 슬로우포그 보안팀은 DEXX 관계자 및 파트너를 도와 상황을 계속 분석하고 있으며, 11월 28일 슬로우포그 보안팀은 솔라나 체인에서 DEXX 공격자의 주소 8,612개를 수집했으며, EVM 체인에서 공격자의 주소는 정리 통계가 완료된 후 공개할 예정이라고 발표했습니다.

(https://x.com/ MistTrack_io/status/1862134946090881368)

폴터 파이낸스

2024년 11월 17일, Fantom 기반 탈중앙 금융 프로젝트인 Polter Finance가 공격을 받아 약 1,200만 달러의 손실을 입었습니다. 공격자들은 플래시 대출을 통해 BOO의 토큰 보유량을 고갈시켜 BOO의 계산된 가격을 인위적으로 부풀렸습니다. 이를 통해 실제 담보 가치를 훨씬 초과하는 토큰을 대출할 수 있었고, 그 결과 막대한 이익을 얻을 수 있었습니다. 플랫폼의 창립자들은 싱가포르 당국에 신고서를 제출했으며, 자금 반환 협상을 위해 온체인 메시지를 통해 공격자들과 연락을 시도했지만 아직 답변을 받지 못했다고 말했습니다.

(https://x.com/ polterfinance/status/1857971122043551898)

서명 분석 및 보안 권장 사항

이달의 보안 사고 건수와 손실 규모가 전월에 비해 크게 감소했습니다. 이러한 변화는 업계의 지속적인 보안 대책 개선이 어느 정도 반영된 결과입니다. 원인 분포와 손실 규모 측면에서 계약 취약점이 공격의 가장 높은 비율을 차지했다는 점에 주목할 필요가 있습니다. 이번 달에 발생한 7건의 계약 취약점 악용으로 인해 약 3천만 달러의 손실이 발생했으며, 이는 전체 손실의 39%를 차지했습니다. Slow Fog 보안팀은 프로젝트 소유자가 경계를 늦추지 말고 새로운 보안 위협과 취약점을 추적 및 해결하고 프로젝트와 자산을 보호하기 위해 정기적이고 포괄적인 보안 감사를 수행할 것을 권장합니다.

또한 Slow Fog 보안팀은 이번 달에 암호화폐 업계에 대한 AI 중독 공격의 실제 사례에 주목했습니다. 이러한 현상은 공급망 공격의 표적 범위가 더욱 확대되고 있음을 나타냅니다. 일부 개발자는 효율성을 추구하면서 AI가 생성한 코드에 지나치게 의존하고 코드의 보안 검토를 소홀히 할 수 있습니다. 따라서 슬로우포그 보안팀은 개발자와 프로젝트 관계자들에게 AI가 생성한 코드를 사용할 때 그 결과를 맹목적으로 신뢰하지 말 것을 당부합니다. 모든 코드는 보안 위험을 방지하고 프로젝트와 사용자 자산을 보호하기 위해 실제 사용하기 전에 엄격한 보안 감사와 테스트를 거쳐야 합니다. 동시에 프로젝트는 공급망의 전반적인 보안 관리를 강화하고, 타사 도구 및 서비스에 대한 종합적인 평가를 수행하며, 관련 분야의 보안 개발 상황을 주시하여 새로운 위협에 적시에 대응해야 합니다.