1인치 해커가 대부분의 자금을 반환했으며 파서 계약 취약점은 2년 이상 존재했습니다.

BlockBeats는 3월 9일 1inch 팀이 3월 7일에 Fusion v1 파서 스마트 계약의 구버전에서 취약점을 발견했으며, 이로 인해 약 240만 USDC와 1,276 WETH, 총 500만 달러 이상의 손실이 발생했다고 보고했습니다. 손상된 유일한 객체는 Fusion v1을 사용하는 리졸버 계약이었습니다.

Decurity 보안팀의 사후 조사 보고서에 따르면, 해당 취약점은 2022년 11월에 Solidity에서 Yul로 다시 작성된 코드에 존재합니다. 여러 보안팀의 감사에도 불구하고, 해당 취약점은 2년 이상 시스템에 여전히 존재합니다. 사건 발생 후, 공격자는 온체인 메시지를 통해 "상금을 받을 수 있나요?"라고 물었고, 피해자인 TrustedVolumes와 협상했습니다. 성공적인 협상 이후, 공격자는 3월 5일 저녁에 자금을 반환하기 시작했으며, 마침내 3월 6일 오전 4시 12분(UTC)에 상금을 제외한 모든 자금을 반환했습니다.

Fusion V1 감사팀 중 하나인 Decurity는 해당 사고에 대한 내부 조사를 실시하고 위협 모델과 감사 범위를 명확히 하고, 감사 중 코드 변경을 위한 추가 시간을 요구하고, 배포된 계약을 검증하는 등 여러 가지 교훈을 요약했습니다.