올해 만우절 밈은 일찍 나왔습니다. 해커들이 해킹당했고, ETH가 도난당하고 피싱당했습니다. zkLend 해커가 2,930 ETH를 훔친 후, 실수로 피싱 웹사이트에 접속했고, 이로 인해 모든 자금이 도난당했습니다. 해커는 온체인 메시지를 통해 zkLend 프로젝트에 사과하며 "붕괴"했다고 주장했고, 프로젝트에 피싱 웹사이트 운영자를 추적해 손실을 회복해 달라고 간청했습니다. 이것은 카르마의 블랙 유머인가, 아니면 해커의 속임수인가? 알아보죠.

해커에서 "피해자"로

올해 2월, Starknet 네트워크를 기반으로 하는 분산형 대출 프로토콜인 zkLend가 파괴적인 공격을 받았습니다. 해커는 스마트 계약의 "반올림 오류" 취약점을 악용해 3,600 ETH를 성공적으로 빼앗았습니다. 이후 zkLend 팀은 해커에게 90%(3,300 ETH)를 반환하면 10%를 "화이트 햇 바운티"로 보관하고 법적 기소는 면제될 것이라고 호소했습니다. 하지만 해커는 대응하지 않았고 자금은 즉시 이더리움 네트워크로 이체되어 개인 정보 보호 프로토콜인 Railgun을 통해 자금 세탁을 시도했습니다. 레일건은 해커에게 자금을 반환하도록 강요했지만 자금세탁 시도는 실패했고, 단서들은 잠시 중단되었습니다.

관련 기사: "500만 달러의 도난 자금이 거부됨, 코인 믹서 Railgun이 DeFi 프로토콜의 "복구 도구"가 되었는가?》

모두가 이 엄청난 돈이 탕진되었다고 생각했을 때, 4월 1일 SlowMist 설립자 Yu Xian은 극적인 전환점을 공개했습니다. 해커들은 자금 흐름을 더욱 혼란스럽게 하기 위해 Tornado Cash로 전환했지만 실수로 Tornado Cash로 위장한 피싱 웹사이트를 클릭했고, 그 결과 2,930 ETH가 휩쓸려갔습니다.

더욱 놀라운 것은 해커가 후회하는 어조로 체인상 메시지를 통해 zkLend에 연락을 취했다는 것입니다. "안녕하세요, Tornado Cash로 자금을 이체하고 싶었는데 실수로 피싱 웹사이트에 접속해 모든 자금을 잃었습니다. 나는 무너졌다. 혼란과 손실을 끼쳐드려 진심으로 사과드립니다. 2,930 ETH는 모두 웹사이트 운영자에 의해 빼앗겼고, 저는 더 이상 코인을 갖고 있지 않습니다. 해당 웹사이트 운영자에게 연락하여 자금 일부를 회수할 수 있는지 확인해 보세요. 이것이 제 마지막 메시지이고, 모든 것을 끝내는 것이 가장 좋은 선택일 수도 있습니다. 다시 한번 죄송합니다."

이 "자백서"는 암호화폐 커뮤니티에 금세 큰 반향을 일으켰습니다. 해커는 메시지에서 자신의 실수를 인정했을 뿐만 아니라 후회를 표하고 심지어 "세상에서 은퇴할 수도 있다"는 암시까지 했습니다. 하지만 이 '진심'은 사람들로 하여금 그 진실성을 의심하게 만든다.

커뮤니티는 어떻게 생각하나요?

이 사건이 폭로된 후, 일부 사람들은 농담조로 이를 "해커 버전의 만우절 농담"이라고 부르며 "조만간 여러분이 한 일에 대한 대가를 치르게 될 것"이라고 한탄했습니다. 다른 사람들은 "이것은 북부 미얀마의 사기꾼들이 가로등 기둥에 있는 건선 광고에 속는 것과 마찬가지다"라고 농담을 했습니다.

일부 커뮤니티 회원들은 재밌는 광경을 보는 것 외에도 해커들이 희극을 연출하고 연기할 수도 있다고 지적했습니다. 즉, 자신을 "피해자"로 위장하여 주의를 돌리거나 피싱 웹사이트 운영자와 공모하여 신원을 세탁하거나 자금의 행방을 은폐할 수도 있다는 것입니다. 하지만 코사인 추적에 따르면 이 피싱 웹사이트는 5년 동안 숨어 있었던 것으로 나타났습니다. 이번에 해커가 지시하고 행동했다면, 그들은 좀 지나치게 "인내심"이 있는 셈입니다. 현재 해커의 지갑은 실제로 비워졌지만 그 뒤에 숨겨진 계좌가 여전히 존재할 가능성을 배제할 수 없습니다.

기사 작성 시점까지 zkLend 임원진은 아직 해커의 메시지에 대한 공식적인 답변을 하지 않았습니다. 이전에 이 프로젝트는 3월 5일에 "복구 포털"을 출시하여 영향을 받은 사용자에게 부분적인 보상을 제공하고 보안 조치를 강화하겠다고 약속했습니다.

오늘날, zkLend 도난 사건은 암호화폐 세계에서 "흑인이 흑인을 먹는" 드라마처럼 보입니다. 해커의 적극적인 도움 요청으로 인해 zkLend가 피싱 웹사이트를 추적하기 위해 법 집행 기관과 협력하게 될까요? 아니면 이건 해커들이 자신의 신원을 "은폐"하기 위해 사용하는 수법일 뿐일까요? 해커의 "자백"은 진정한 회개인가, 아니면 신중하게 계획된 "만우절 농담"인가? BlockBeats에서는 해당 사건을 계속해서 추적하여 보도할 예정입니다.

BlockBeats 공식 커뮤니티에 참여하세요:

Telegram 구독 그룹：https://t.me/theblockbeats

Telegram 토론 그룹：https://t.me/BlockBeats_App

Twitter 공식 계정：https://twitter.com/BlockBeatsAsia