디파이 플랫폼 크림 파이낸스, 17차례 해킹 공격에 AMP, 이더리움 등 2900만 달러 날렸다

4개의 다른 체인(이더리움, BSC, 폴리곤, 팬텀)에 있는 디파이(Defi) 대출-차용 플랫폼인 크림 프로토콜이 월요일 해킹을 당해 여러 암호화폐에서 2,900만 달러의 손실을 입었다. 공격자는 프로토콜에 AMP 토큰을 도입할 때 발생하는 버그를 이용했다. 블록체인 보안 및 데이터 분석 회사인 팩실드(Peckshield)에 따르면 AMP 통화 코드에 존재하는 재진입 버그를 이용하여 단 한 번의 거래로 해킹이 발생했다.

이를 통해 해커는 첫 번째 차용을 업데이트하기 전에 전송하는 동안 자산을 ​​다시 차용할 수 있었다. 이러한 익스플로잇(취약점 공격)은 17차례 반복되었고 해커는 418,311,571 AMP(약 2,510만 달러)와 1,308.09 이더리움(약 415만 달러)을 확보할 수 있었다.
플랫폼은 AMP 토큰을 포함하기 전에 사이버 보안 연구 및 컨설팅 회사인 트레일스 오브 비트(Trails Of Bits)의 감사를 받았습다. 크림은 공급을 일시 중지하고 AMP를 빌림으로써 익스플로잇을 중단했다고 선언했다. 이 프로토콜은 또한 사용자에게 다른 시장에는 영향을 미치지 않았으며 나중에 사후 보고서를 제공할 예정이라고 알렸다.

크림의 해킹 사건은 이번이 처음이 아니다. 6개월도 채 되지 않아 플랫폼은 공격자가 3,750만 달러를 인출할 수 있는 해킹의 영향을 받았다. 또 다른 디파이 프로토콜인 알파 파이낸스(Alpha Finance) 계약의 미공개 버전을 사용하는 이 해킹은 코드의 반올림 오산과 화이트 리스트 기능을 악용했다. 자금을 통제한 후 공격자는 이더리움에서 개인 거래를 허용하는 프로토콜인 토네이도 캐시(Tornado.cash)로 자금을 가져갔다.

운 좋게도 이 첫 번째 해킹 동안 사용자 자금은 영향을 받지 않았다. 그러나 이는 디파이 환경이 매우 복잡하고 프로토콜의 작은 변경(예: 통화 추가 또는 다른 플랫폼 화이트 리스트 지정)이 미래의 보안에 큰 영향을 미칠 수 있음을 보여준다.


김경수 글로벌이코노믹 편집위원 ggs077@g-enews.com

[알림] 본 기사는 투자판단의 참고용이며, 이를 근거로 한 투자손실에 대한 책임은 없습니다.