다운 앤 아웃 블래스트 에코 뭉쳐블 해킹 분석

2022년 3월 27일, 자금세탁방지 분석 플랫폼 Beosin KYT의 모니터링에 따르면, Blast 에코 웹3 게임 플랫폼 Munchables가 해킹 공격을 받았으며 해커는 약 17,413.96ETH의 이익을 얻었고 6,200W 이상의 손실을 입었습니다.

Munchables는 Blast Big Bang 수상 프로젝트인 것으로 확인되었습니다.

알다시피 Munchables는 Blast Big Bang 수상 경력에 빛나는 프로젝트로, 최근 매니폴드와 메커니즘 캐피탈이 주도하는 프리 시드 라운드의 자금 조달을 완료했다고 발표했습니다.

Munchables의 TVL은 공격 발표 이후 9,600만 달러에서 3,400만 달러로 급락했습니다. Beosin 보안팀은 이 사건을 가장 먼저 분석했습니다.

● 거래에 대한 공격

https://blastexplorer.io/tx/0x3d08f2fcfe51cf5758f4e9ba057c51543b0ff386ba53e0b4f267850871b88170

https://blastexplorer.io/tx/0x9a7e4d16ed15b0367b8ad677eaf1db6a2a54663610696d69e1b4aa1a08f55c95

● 공격자 주소

0x6e8836f050a315611208a5cd7e228701563d09c5

● 공격받은 계약

0x29958e8e4d8a9899cf1a0aba5883dbc7699a5e1f

< strong>취약점 분석

이전에 체인 슬루스 ZachXBT는 공격의 원인을 조사한 결과 뭉쳐블이 도난당했거나 개발자로 위장한 북한 해커를 고용했기 때문이라고 밝혔습니다.

ZachXBT는 "뭉쳐블 팀에 고용된 4명의 개발자가 익스플로잇과 관련이 있으며, 이들은 같은 사람일 가능성이 높다고 말했습니다. 그들은 서로에게 일을 추천하고, 같은 두 개의 거래소 입금 주소로 정기적으로 돈을 이체하고, 서로의 지갑을 충전했습니다."라고 말했습니다.

분석 결과, 뷰인 보안팀은 이번 공격이 북한 해커 개발자가 계약 업그레이드 기능을 이용해 담보 원장을 미리 설정한 뒤, 계약에 자금이 쌓인 후 잠금 해제 기능을 호출해 계약 내 이더리움을 상승시키는 방식으로 주로 이뤄졌다는 사실을 밝혀냈습니다.

공격 흐름

공격 준비 단계:

해커 개발자는 백도어가 포함된 구현 계약 0x910fFc04A3006007A453E5dD325BABe1e1fc4511을 미리 생성하고 해커 자신의 담보 원장을 매우 큰 값으로 미리 설정했습니다.

공격 단계 :

공격자는 잠금 해제 기능을 호출하여 이더리움을 탈취하며, 공격 준비 단계에서 해커가 이미 담보 원장을 설정했기 때문에 검사는 간단히 우회됩니다.

도난 사건 이후 뭉쳐블은 소셜 미디어를 통해 앞서 발표한 개인키 공유에 대해 보안 담당자의 사용자 자금 회수를 돕기 위해 개인키를 공유한다고 추가 설명했습니다. 구체적으로 62,535,441.24 달러의 암호화폐 자산이 포함된 개인 키, 73 WETH가 포함된 개인 키, 나머지 자금이 포함된 소유자의 개인 키가 공유되었습니다.

프로젝트 소유자뿐만 아니라 사용자들도 불안해하고 있습니다.

14일 오후(한국 시간 기준), 뭉쳐블 공격자들은 17,000 이더를 모두 다중 서명 지갑에 반환했습니다.

이 글을 게시하는 시점에서 탈취한 자금은 다중 서명 계약으로 반환 및 전송되었습니다.

30분 후, Blast의 설립자 팩맨은 X 플랫폼에서 블라스트의 핵심 기여자들이 다중 서명을 통해 9,700만 달러(도난당한 이더리움 17,400개와 프로토콜에 남아 있는 9만 4,550wETH, 현재 가치 9,600만 달러)를 받았다고 발표했습니다. 결국 몸값 없이 모든 자금을 돌려주기로 결정한 전 뭉쳐블 개발자에게 감사하며, 뭉쳐블도 이 공지를 리트윗하며 "모든 사용자 자금은 안전하며, 락아웃은 시행되지 않을 것이며, 모든 Blast 관련 보상은 분배될 것입니다. 앞으로 며칠 내에 업데이트가 이루어질 예정입니다."

동시에 이전에 동기화되었던 Juve도 같은 방식으로 이전에 뭉쳐블 공격의 영향을 받았던 Juice도 자금이 안전하며, 뭉쳐블 개발자들로부터 모든 wETH를 회수했으며, 사용자들이 자금을 인출할 수 있도록 팩맨 및 블라스트와 협력하여 wETH를 Juice로 다시 전송하고 있다고 발표했습니다.

최고점 놀랍게도 해커들이 자금을 반환한 이유는 아직 알 수 없지만, 이 사건은 보안의 중요성을 다시 한 번 일깨워주는 또 다른 경각심을 불러일으키는 계기가 되었습니다.