반환된 자금 디파이(Defi) 사상 최초의 너바나 교환 디파이(Defi) 해킹 기소

에 따르면 TRM Labs에 따르면 오늘 약 260만 달러의 가상자산 탈중앙화 거래소 너바나에 반환되었습니다. 너바나는 2022년 7월 해킹의 피해자였으며, 이로 인해 사상 최초로 기소 및 유죄 판결을 받았습니다. 디파이(Defi) 해킹으로 기소되고 유죄 판결을 받았습니다. TRM Labs 은 이 수사 과정에서 법 집행 기관과 사고 대응 과정에서 피해자를 지원하게 된 것을 자랑스럽게 생각합니다.

TRM의 글로벌 조사팀이 TRM에서 알림 받았습니다. Detect 를 통해 도난당한 자금이 스테이블코인 DAI로 다시 이동했음을 알리는 알림을 받았습니다. 디파이(Defi) 프로토콜로 이동했다는 알림을 받았습니다.

법원 문서에 따르면, 2022년 7월, 숙련된 보안 엔지니어인 샤키브 아메드가 신원이 확인되지 않은 가상자산 거래소의 스마트 컨트랙트 취약점을 악용하여 공격을 수행했습니다.

또한, 작년 말 유죄를 인정한 아메드는 다음과 같이 공격했습니다. 디파이(Defi) 프로토콜 너바나를 공격했습니다. 너바나는 가상자산 토큰인 ANA를 사고 팔았는데, 사용자가 ANA를 대량으로 구매하면 ANA 가격이 상승하고, 사용자가 ANA를 대량으로 판매하면 가격이 하락하도록 설계되어 있었습니다.

암호화폐 거래소 해킹이 발생한 지 몇 주 후인 2022년 7월 28일, 아흐메드는 약 1,000만 달러의 플래시 대출을 받고 그 자금으로 너바나로부터 ANA를 구매한 후 너바나의 스마트 컨트랙트에서 발견한 익스플로잇을 사용하여 구매 규모에 따라 너바나가 부과하도록 설계한 높은 가격이 아닌 초기 낮은 가격으로 ANA를 구매했습니다. 대규모 구매를 반영하여 ANA 가격이 업데이트되자 아흐메드는 자신이 구매한 ANA를 새로운 높은 가격으로 너바나에 재판매하여 약 360만 달러의 이익을 얻었습니다.  

너바나는 아흐메드에게 탈취한 자금을 돌려주기 위해 60만 달러의 '버그 현상금'을 제시했지만 아흐메드는 대신 140만 달러를 요구했고 너바나와 합의에 이르지 못한 채 탈취한 자금을 모두 보관하고 있었습니다. 아흐메드가 훔친 360만 달러는 너바나가 보유한 거의 모든 자금에 해당하며, 그 결과 너바나는 아흐메드의 공격 직후 문을 닫았습니다.

아메드는 믹서, 크로스 체인 스왑, 프라이버시 코인 모네로 등 다양한 온체인 난독화 기술을 사용하여 암호화폐 거래소 및 너바나에서 훔친 수백만 달러를 세탁했습니다.

아래에서는 암호화폐 거래소에 대한 익스플로잇, 사고 대응 및 TRM의 블록체인 인텔리전스 사용한 조사에 대해 설명해드리겠습니다.

익스플로잇‍

기소장에 따르면, 공격 당시 피고는 "국제 기술 회사의 선임 보안 엔지니어로, 이력서에 스마트 컨트랙트 리버스 엔지니어링과 블록체인 감사 등의 기술이 반영되어 있으며, 이는 아메드가 공격을 실행하는 데 사용한 전문 기술 중 일부입니다."라고 합니다. 기소장에 따르면 이 암호화폐 거래소는 고객이 솔라나 블록체인에서 자산을 교환할 때 스마트 컨트랙트에 의존하는 '자동화된 시장 조성자'입니다. 구체적으로, 암호화폐 거래소는 고객으로부터 유동성을 모아 거래 시장을 만들었습니다(예: 고객이 시장가로 100 USDC를 거래소에 예치하면 거래소는 유동성 제공에 대한 수수료를 고객에게 지불하는 방식).

2022년 7월 2일, 암호화폐 거래소는 공격이 발생했으며 고객 자금을 보호하기 위해 신속한 조치를 취할 것이라고 대중에게 알렸습니다. 해당 공격은 피고가 거래소와 관련된 스마트 컨트랙트 악용하여 거래소에 대량의 유동성을 공급한 것처럼 보이도록 허위 데이터를 제공하여 실제로는 공급하지 않았음에도 불구하고 이를 악용한 것으로 추정됩니다. 그 결과 피고는 거래소로부터 상당한 수수료를 부당하게 수령했습니다. 

또한 피고는 거래소의 스마트 컨트랙트 악용하는 방법을 알아낸 후 "플래시 대출"을 통해 얻은 자금을 사용하여 거래소에 일련의 입금을 하여 추가 사기 수수료를 발생시킨 것으로 추정됩니다. 그런 다음 피고는 거래소에서 또 다른 사기 계정을 만들고 스마트 컨트랙트 추가로 조작하여 거래소에서 원금을 신속하게 인출할 수 있었습니다.

아흐메드는 스마트 컨트랙트 조작하여 거래소로부터 총 미화 900만 달러 상당의 가상자산 부정하게 취득한 것으로 추정됩니다. 사용 TRM Labs Graph Visualizer를 사용하면 익스플로잇이 공격자 주소에서 시작하여 솔라나에서 이더리움으로 블록체인을 넘나들며 후속 ETH 주소로 이동하는 것을 확인할 수 있습니다.

익스플로잇 이후, 피고는 부정하게 획득한 자금의 흐름을 난독화할 필요가 있었기 때문에 자금의 목적지를 숨기기 위해 정교한 자금 세탁 기술을 사용하기 시작했습니다. 피고는 자금의 흐름을 숨기기 위해 여러 차례 블록체인 간에 자금을 교환하고, 가상자산 "믹서"를 사용했으며, 프라이버시가 강화된 암호화폐로 자금을 이동한 것으로 보입니다.↪CF_200D↩

응답↪f_200D↩

해킹이 발생한 후 거래소는 TRM의 사고 대응팀, HSI 및 IRS 조사관과 협력하여 익스플로잇 전후의 자금 흐름을 추적하고 추적했습니다.

조사 및 사건 대응 과정에서 피고는 스마트 컨트랙트 프로토콜의 취약점을 지적한 대가로 150만 달러 상당의 가상자산 제외한 모든 자금을 반환했으며, 이는 자신이 받아야 할 돈이라고 주장했습니다.

기소장에 따르면 수사관들은 이 온체인 데이터를 오프체인 수사와 함께 사용하여 궁극적으로 피의자를 식별하고 체포했습니다. 오프체인 조사 결과, 피고는 공격 이후 온라인에서 공격에 대한 정보, 자신의 형사 책임, 유사한 사건에 대한 전문성을 갖춘 형사 변호인, 법 집행 기관의 성공적인 공격 조사 능력, 형사 고발을 피하기 위한 미국 도피 등을 검색한 것으로 밝혀졌습니다.  

예를 들어, 기소장에 따르면 피고는 공격 이틀 후 인터넷에서디파이(Defi) 해킹'이라는 용어를 검색하고 암호화폐 거래소 해킹에 관한 여러 뉴스 기사를 읽었으며 미국 도피, 범죄인 인도 회피, 훔친 가상자산 보관과 관련된 인터넷 검색을 하거나 웹사이트를 방문했습니다: 그는 "암호화폐로 국경을 넘을 수 있는가", "연방 정부의 자산 압류를 막는 방법", "시민권 구매"라는 용어를 검색했고, "투자로 시민권을 살 수 있는 16개국 ..."이라는 제목의 웹사이트를 방문했습니다. . ."

2023년 12월 14일, 아메드는 두 건의 해킹과 관련하여 유죄를 인정하고 부정하게 취득한 가상자산 약 560만 달러의 몰수를 포함하여 1,230만 달러 이상을 몰수하는 데 동의했습니다.

이번 사건은 블록체인 인텔리전스 활용해 가상자산 생태계를 교란하고 사기를 처벌하기 위한 HSI와 IRS 같은 미국 법 집행 기관의 정교하고 조직적인 노력을 보여주는 예시입니다. 또한 거래를 난독화하려는 불법 행위자를 막기 위해 블록체인 전반에서 자금의 흐름을 추적하고 추적할 수 있는 능력의 중요성을 강조합니다.

‍