Balancer의 코드 문제로 인해 1억 달러가 넘는 손실이 발생했으며, 이는 DeFi 산업에 치명적인 타격이었습니다.

ODAILY星球日报

이 글을 읽으려면 10 분

하락장에서 흔히 있는 일이지만, 확립된 프로토콜에 따라 보안 사고가 발생하기도 했습니다.

원제목: "기존 DeFi 플랫폼 붕괴: Balancer V2 계약 취약점으로 1억 1,600만 달러 이상 도난 발생"

원저자: Wenser, Odaily Planet Daily

Rhythm 소식: 오늘 DeFi 프로토콜 Balancer가 해킹 공격을 받아 1억 1,600만 달러 이상의 자금이 도난당했습니다. 여러 프로젝트가 자체 복구 조치를 취했습니다. Lido는 영향을 받지 않은 Balancer 포지션을 철회했습니다. 베라체인은 BEX의 Balancer V2 관련 취약점을 해결하기 위해 긴급 하드포크를 실시하기 위해 네트워크 중단을 직접 발표했습니다.

플래시봇(Flashbots)의 전략 담당 이사이자 리도(Lido)의 전략 고문인 하수(Hasu)는 "Balancer v2는 2021년에 출시된 이후 가장 주목을 받고 자주 포크되는 스마트 컨트랙트 중 하나가 되었습니다. 이는 매우 우려스러운 일입니다. 오랫동안 온라인 상태를 유지해 온 컨트랙트가 공격을 받을 때마다 DeFi 도입이 6개월에서 12개월씩 지연됩니다."라고 말했습니다. 원문은 다음과 같습니다. 11월 3일, 기존 DeFi 프로토콜인 Balancer가 7천만 달러 이상의 자산을 도난당했다는 보도가 나왔습니다. 이후 여러 출처를 통해 이 소식이 확인되었고, 도난당한 자금 규모는 계속 증가하고 있습니다. 이 글을 쓰는 시점을 기준으로 Balancer에서 도난당한 자산 규모는 1억 1,600만 달러 이상으로 증가했습니다. Odaily Planet Daily는 이 기사에서 이 문제에 대한 간략한 분석을 제공합니다. Balancer 도난 세부 정보: 손실액 1억 1,600만 달러 초과, 주로 v2 풀 스마트 계약 취약점으로 인한 것으로 추정

온체인 정보에 따르면, Balancer 공격자들은 1억 1,600만 달러 이상을 훔쳤습니다. 주요 도난 자산에는 WETH, wstETH, osETH, frxETH, rsETH, rETH가 포함되며, ETH, Base, Sonic 등 여러 체인에 분산되어 있습니다. 구체적으로:

· Ethereum 온체인 도난 자산: 약 1억 달러;

· Arbitrum 온체인 도난 자산: 약 800만 달러;

· Base 온체인 도난 자산: 약 395만 달러;

· Sonic 온체인 도난 자산: 340만 달러 이상.

Optimism 블록체인에서 도난당한 157만 달러;

· 폴리곤 온체인 도난 자산: 약 23만 달러.

암호화폐 전문가 아디(Adi)는 예비 조사 결과 공격이 주로 Balancer의 V2 볼트 및 유동성 풀을 표적으로 삼아 스마트 계약 상호작용의 취약점을 악용했다고 밝혔습니다. 온체인 조사관들은 악의적으로 배포된 계약이 유동성 풀 초기화 과정에서 볼트 호출을 조작했다고 지적했습니다. 잘못된 권한 부여 및 콜백 처리를 통해 공격자는 보호 기능을 우회하여 상호 연결된 유동성 풀 간의 무단 스왑 교환이나 잔액 조작을 가능하게 했으며, 그 결과 몇 분 만에 자산이 빠르게 도난당했습니다.

입수 가능한 정보에 따르면 개인 키 유출은 발생하지 않았습니다. 이는 순전히 스마트 계약 취약점입니다.

감사관 Kebabsec과 Citrea 개발자 @okkothejawa는 "(@moo9000님이 언급한 확인 오류)가 근본 원인이 아닐 수 있습니다. 모든 'manageUserBalance' 호출에서 ops.sender == msg.sender로 설정되어 있기 때문입니다. 이 보안 취약점은 자산 인출 계약이 생성되기 전 트랜잭션에서 발생했을 수 있으며, Balancer 볼트의 일부 상태 변경을 초래했습니다."라고 게시했습니다. Balancer는 공식적으로 "공식 팀은 Balancer v2 풀에 영향을 미치는 잠재적 취약점을 인지하고 있습니다. 엔지니어링 및 보안 팀이 최우선 순위로 조사하고 있습니다. 추가 정보가 확보되는 대로 검증된 업데이트와 후속 조치를 공유하겠습니다."라고 밝혔습니다. 자산 손실 위험에 직면한 Berachain도 즉시 대응했습니다. 베라체인 재단의 성명에 따라 베라체인 설립자 스모키 더 베라는 "베라 노드 그룹은 밸런서 취약점이 BEX(주로 USDe 3개 풀)에 영향을 미치는 것을 막기 위해 퍼블릭 체인 운영을 사전에 중단했습니다. 여기에는 다음이 포함됩니다. • Ethena 팀에 Bera 브릿지 비활성화 요청 • 대출 시장에서 USDe 예치금 비활성화/중단 • HONEY 토큰 발행 및 교환 중단 • 해커 주소가 블랙리스트에 등록되도록 CEX와 소통. 저희의 목표는 최대한 빨리 자금을 회수하고 모든 LP의 안전을 보장하는 것입니다. 베라체인 팀은 준비가 완료되는 대로 관련 노드 검증인과 서비스 제공업체에 바이너리를 공개할 것입니다(이에는 Bera 토큰 잔액 수정뿐만 아니라 일부 슬롯 구조 조정이 포함되며, 풀에는 네이티브가 아닌 자산이 포함되어 있습니다).

Balancer 공격자에 대한 자세한 온체인 정보는 https://intel.arkm.com/explorer/entity/cd756cb8-6a84-4f40-9361-f6c548544430에서 확인하세요.

Balancer 해킹, 암호화폐 고래들이 가장 불안해

오랜 역사를 가진 DeFi 프로토콜인 Balancer 사용자는 의심할 여지 없이 이번 도난 사건의 가장 직접적인 피해를 입습니다. 현재 사용자는 다음 조치를 취할 수 있습니다.

· Balancer v2 풀에서 자금을 인출하여 추가 손실을 방지합니다.

· 권한 취소: Revoke, DeBank 또는 Etherscan을 사용하여 Balancer 주소에 대한 스마트 계약 권한을 취소하여 잠재적인 보안 위험을 방지합니다.

· 경계 유지: Balancer 공격자의 다음 움직임을 면밀히 모니터링하고 다른 DeFi 플랫폼에 영향을 미칠지 여부를 확인합니다.

이 계약은 연쇄 효과를 갖습니다. 또한, 3년 동안 잠복해 있던 암호화폐 고래가 이번 도난 사건에서 시장의 주목을 받았습니다. LookonChain 모니터링에 따르면, 3년 동안 잠복해 있던 암호화폐 고래 0x0090이 Balancer 플랫폼 취약점 발생 직후 깨어나 Balancer에서 관련 자산 650만 달러를 인출하려고 합니다. 온체인 정보는 다음에서 확인할 수 있습니다: https://intel.arkm.com/explorer/address/0x009023dA14A3C9f448B75f33cEb9291c21373bD8