디파이(Defi)크로스 체인 브리지 공격, 암호화폐 해킹 및 익스플로잇으로 인한 기록적인 피해 발생

해킹 디파이(Defi) 의 해킹 사건 검토에 따르면 2022년 11월까지 도난당한 자금이 36억 달러가 넘는 등 가상자산 생태계의 해킹 활동은 기록적인 한 해를 보냈습니다. TRM Labs¹. 

숫자로 보는 이야기:

• 3.5:1 - 3.5:1의 비율은 디파이(Defi) 해킹이 비디파이(Defi) 타겟에 대한 해킹비율입니다.
• 80 - 올해 암호화폐에서 도난당한 총 금액 중 다음에서 발생한 비율입니다. 디파이(Defi) 공격으로 인해 발생한 금액의 비율 - 30억 달러에 달합니다. ‍
• 11배 - 평균 크로스 체인 브리지 해킹은 평균 비 크로스 체인 브리지 해킹보다 약 11배 더 큽니다. 해킹 대상 디파이(Defi)-를 사용하는 크로스 체인 브리지 해킹은 다른 타겟에 대한 해킹보다 덜 일반적이지만 평균적으로 훨씬 더 큽니다.‍
• 13 - 다음에서 탐지한 크로스 체인 브리지 해킹 건수 TRM Labs 2022년 11월 기준, 약 20억 달러가 도난당했습니다. 
• 9/10 - 올해 지금까지 발생한 가장 큰 해킹 10건 중 9건은 다음을 대상으로 발생했습니다. 디파이(Defi) 를 대상으로 한 해킹이었으며, 이 중 5건은 크로스체인 브릿지를 대상으로 한 해킹이었습니다. 9개의 가장 큰 디파이(Defi) 공격을 막았다면 도난당한 금액을 65% 줄일 수 있었을 것입니다.

큰 금액과 취약점이 만드는 디파이(Defi) 매력적인 타겟 

총 잠긴 값(TVL)은 디파이(Defi) 는 2020년 10월 약 100억 달러에서 2022년 11월 420억 달러로 지난 2년 동안 폭발적으로 증가했습니다. 같은 집계 웹사이트에 따르면 11월 말 7일 동안의 브릿지 거래량은 약 13억 달러였습니다.

크기 외에도 두 가지 주요 특징이 있습니다. 디파이(Defi) 프로젝트와 크로스 체인 브리지의 두 가지 특징은 해커들에게 더 바람직한 표적이 될 수 있고 익스플로잇에 더 취약하다는 점입니다:

• 복잡성: 복잡성 디파이(Defi) 생태계는 복잡하고 서로 연결되어 있어 해커가 개발자가 예상하지 못했거나 테스트하지 않은 방식으로 익스플로잇을 사용할 수 있습니다. 예를 들어, 플래시 대출 공격에서 해커는 공격 대상과 관련이 없는 서비스를 사용하여 자산의 가격을 조작하거나 공격이 주요 공격 대상에 미치는 영향을 확대할 수 있습니다.

• 투명성: 디파이(Defi) 프로젝트는 당연히 투명성을 중시하며 일반적으로 오픈 소스 코드를 기반으로 구축됩니다. 따라서 보안 연구자부터 해커까지 누구나 코드를 검토하고 악용 가능한 취약점을 검색할 수 있습니다.  

일부 해커들은 다음과 같이 주장하기도 했습니다. 디파이(Defi) 프로젝트가 법을 위반하지 않는 방식으로 조작 및 공격될 수 있다고 주장하기도 합니다. 이로 인해 잠재적 공격자가 디파이(Defi) 프로젝트를 CeFi 공격 대상보다 위험도가 낮은 것으로 간주할 수 있습니다. 

2022년 10월, 솔라나에 기반을 둔 플랫폼 망고 마켓은 토큰의 가치를 결정하는 가격 오라클을 조작한 해커 집단에 의해 약 1억 1,500만 달러의 손실을 입었습니다. 해커들의 자칭 리더인 아브라함 아이젠버그는 나중에 자신의 정체를 밝히고 자신의 팀 활동을 해킹이 아닌 "고수익 거래 전략"으로 규정했습니다. 아이젠버그가 기소될지는 아직 불투명합니다.

디파이(Defi) 해킹에는 인프라 공격, 코드 익스플로잇, 프로토콜 공격이 포함됩니다.

인프라 공격, 코드 익스플로잇, 프로토콜 공격이 올해 현재까지 해킹으로 인해 도난당한 총 금액의 대부분을 차지했습니다. 일부 해커는 이러한 공격 유형을 조합하여 자금에 접근합니다. 

• 인프라 공격을 통해 해커는 대상의 보안 제어를 뚫고 피해자 주소에서 해커가 제어하는 주소로 자금을 송금하는 등 무단 거래를 수행할 수 있습니다. 이 범주의 일반적인 방법에는 개인 키 도용, 시드 문구 도용, 프런트엔드 공격이 포함됩니다.
• 스마트 컨트랙트를 대상으로 하는 코드 익스플로잇을 통해 공격자는 다음에서 자금을 탈취할 수 있습니다. 디파이(Defi) 프로토콜에서 승인 없이 자금을 탈취할 수 있습니다. 스마트 컨트랙트 코드 익스플로잇에서 해커는 발견된 취약점을 사용하여 프로토콜에 대한 공격을 수행할 수 있습니다. 올해 초, 솔라나의 웜홀 브리지가 해킹의 표적이 되어 3억 달러가 넘는 자금이 디파이(Defi) 프로토콜(아래 참조).
• 프로토콜 공격은 비즈니스 로직 공격의 일종으로, 공격자가 토큰 가격을 조작하여 한 시장에서 저가에 매수하고 다른 시장에서 고가에 매도하는 차익거래 기회를 창출할 수 있습니다. 플래시 대출과 거버넌스(governance) 조작은 가장 일반적인 프로토콜 공격 유형 중 일부입니다.

CeFi 실패는 연료가 될 수 있습니다 디파이(Defi) Hacks 

최근 FTX 셀시우스, 보이저 등 유명 중앙화 암호화폐 회사(CeFi로 알려진)의 실패로 인해 다음과 같은 암호화폐에 대한 관심이 높아질 것으로 보입니다. 디파이(Defi) 솔루션에 대한 관심이 높아질 것입니다. 이로 인한 투자자들의 이탈은 디파이(Defi) 로의 투자자 이탈은 해커들을 더욱 대담하게 만들 수 있습니다. 

이러한 위험을 완화하기 위해 디파이(Defi) 프로젝트는 기존의 버그 바운티 프로그램, 스마트 컨트랙트 보안 감사, 상용 보안 솔루션으로 전환해야 합니다. 

• 기존의 버그 바운티 프로그램은 해커와 보안 연구원에게 취약점을 발견하고 넘겨주는 대가로 돈을 지불합니다. 디파이(Defi) 프로젝트에 취약점을 제보하면 돈을 지급합니다. 그러면 취약점이 공격에 악용되기 전에 패치가 이루어질 수 있습니다. 반면, 공격 후 해커에게 훔친 자금의 일정 비율을 돌려주는 암호화폐 바운티 프로그램은 오히려 해킹을 조장할 수 있습니다. 암호화폐 바운티에 대한 자세한 내용은 TRM의 최근 바운티 분석 보고서 "도난당한 암호화폐 복구 노력에서 중요한 역할을 하는 바운티"를 참조하세요.
  

• 보안 감사를 통해 스마트 컨트랙트의 근간이 되는 취약점을 발견할 수 있습니다. 디파이(Defi) 프로젝트의 취약점을 발견하여 해커가 취약점을 악용하기 전에 프로젝트가 버그를 수정할 수 있도록 합니다. 그러나 감사가 완벽한 것은 아니며, 다른 보안 제어 및 정책과 함께 사용해야 합니다.

• 보안 전반을 개선하기 위한 새로운 상용 솔루션이 개발되고 있습니다. 디파이(Defi) 생태계의 보안을 개선하기 위한 새로운 상용 솔루션이 개발되고 있습니다. 특히 스마트 컨트랙트 감사와 같은 기존 제어 기능과 결합하면 혁신적인 보안 제품을 통해 개선된 디파이(Defi) 보안을 개선할 수 있지만, 아직 그 효과를 판단하기에는 이르다.

이러한 제어 및 기술을 함께 사용하면 다음과 같은 공격 표면을 축소할 수 있습니다. 디파이(Defi) 프로토콜의 공격 표면을 축소할 수 있습니다. As 디파이(Defi) 가 계속 성장함에 따라 해커들은 디파이의 약점을 악용하기 위해 더욱 대담한 방법을 모색할 것이므로 지속적인 경계가 필수적입니다.

¹ 이 백서에서는 스마트 컨트랙트 및 코드 익스플로잇뿐만 아니라 도난당한 개인 키와 같은 일반적인 인프라 공격도 포함하도록 해킹을 광범위하게 정의합니다.