토큰이 백 배 폭등했는데, Tectonic이 약 7400만 달러의 손실을 입었다고?

Foresight News

이 글을 읽으려면 12 분

이번 사건은 Moonwell 및 Mango Markets 사례와 유사하며, 모두 낮은 유동성의 토큰이 가격을 끌어올려진 후 높은 유동성의 자산을 인출하는 방식과 관련이 있습니다.

원문 제목: 《토큰 폭등 100배, Tectonic 약 7400만 달러 손실?》
원문 저자: ChandlerZ, Foresight News

8월 30일, Cronos 생태계 대출 프로토콜 Tectonic이 공격을 받았고, Cronos는 이후 블록 생성을 중단했습니다. 연구원 Weilin Li는 처음에 약 6600만 달러를 추적했으며, 그중 약 600만 달러가 Ethereum으로 전송되었고, 약 6000만 달러가 Cronos의 세 개 주소에 남아 있었습니다. 이후 그는 약 800만 달러를 보유한 또 다른 공격자 주소를 발견했습니다. PeckShield는 이후 손실 규모를 약 7400만 달러로 추산했습니다.

Cronos는 Crypto.com이 처음 개발했으며, Tectonic은 독립 팀이 운영합니다. Tectonic은 사용자가 USDC, USDT, CRO, WBTC 등의 자산을 자금 풀에 예치하여 이자를 얻을 수 있게 하며, 차용자는 담보 자산을 제공한 후 풀의 유동성을 빌릴 수 있습니다. 사고 발생 전, Tectonic은 Cronos에서 가장 큰 규모로 잠긴 대출 프로토콜이었습니다. DefiLlama에 따르면 Tectonic의 총 잠금 가치는 약 1억 2000만 달러였으며, 활성 대출은 약 8270만 달러였습니다.

8월 31일 기준, Tectonic의 총 잠금 가치는 300만 달러 미만으로 급락하여 사고 전의 약 2.5%만 남았습니다.

Tectonic의 대출 자산은 예금자가 제공한 공유 자금 풀에서 비롯되며, 예금자는 tToken 지분 증서를 받습니다. 대출 한도와 출금 요청은 스마트 계약에 의해 자동으로 실행되며, 수동 승인 절차가 없습니다. 오라클 가격은 각 담보 계정의 대출 가능 수량을 직접 변경합니다. 공격자는 가격이 인위적으로 상승된 TONIC을 담보로 사용하여 풀에서 유동성이 더 높은 자산을 인출한 후, 담보 가치가 하락하면서 관련 자금 풀에 부채 공백이 발생했습니다. 최종 회수 가능 금액은 각 자산 풀이 출금을 재개할 때 지급할 수 있는 잔액에 영향을 미칩니다.

Cronos는 Tectonic의 취약점을 확인한 후 네트워크를 중단했으며, Tectonic은 사용자에게 프로토콜과의 상호작용을 중단할 것을 요청했습니다. Crypto.com의 최고경영자 Kris Marszalek은 Crypto.com 앱과 거래 플랫폼은 영향을 받지 않았으며, 보안 팀이 조사를 지원하고 있다고 밝혔습니다.

TONIC이 20분 만에 약 100배 급등

Weilin Li는 이번 사건을 Mango Markets와 유사한 펌프 앤 대출 공격으로 분류했다. Tectonic은 자체 거버넌스 토큰인 TONIC을 담보로 인정하며, 담보 비율을 20%로 설정했다. 프로토콜은 오라클 견적에 따라 담보 가치를 계산하며, 100달러 상당의 TONIC은 최대 20달러의 다른 자산을 빌리는 것을 지원할 수 있다.

TONIC의 거래 유동성은 매우 낮다. Li의 추적에 따르면, 8월 30일 공격자는 약 20분 만에 TONIC 가격을 약 100배 끌어올린 후 TONIC을 Tectonic에 예치했다. 상승된 견적이 프로토콜 가격 소스에 유입된 후, 스마트 계약은 동시에 이 담보의 평가액과 계정 대출 한도를 상향 조정했고, 공격자는 이를 통해 예금자들이 제공한 자금 풀에서 USDC, USDT 등 유동성이 더 높은 자산을 빌려갔다.

Li는 공격 포지션에서 약 364.6조 개의 TONIC을 식별했으며, 이는 TONIC 총 공급량의 약 73%에 해당한다. 조작된 단가 약 0.00000103달러 기준으로, 이 토큰들의 Tectonic 내 담보 평가액은 약 3억 7500만 달러였다.

공격자가 빌려간 USDC, USDT 등 자산은 실제 부채를 형성했고, TONIC 가격이 하락한 후 프로토콜에는 원래 견적대로 판매하기 어려운 TONIC 담보만 남게 되었다. Tectonic의 청산인은 먼저 공격자를 대신해 부채 일부를 상환한 후 할인된 TONIC을 받아야 한다. 시장이 이 규모의 TONIC을 흡수할 수 없을 때, 청산 거래도 3억 7500만 달러의 담보 평가액으로 USDC, USDT 등 자산을 회수할 수 없게 되어 자금 풀에 부실채권이 남게 된다.

Li는 처음에 약 6600만 달러의 관련 자금을 식별했으며, 그중 약 600만 달러는 Ethereum으로 이체되었고, 약 6000만 달러는 여전히 Cronos 주소에 남아 있었다. 이후 그는 약 800만 달러를 보유한 또 다른 공격자 주소를 발견했으며, 세 부분을 합치면 약 7400만 달러에 달한다.

8월 31일 기준, Tectonic 문서에 따르면 TONIC/USD는 프로토콜 내부 가격 소스에서 견적되며, 데이터는 VVS Finance와 Crypto.com Exchange에서 제공된다. 오라클은 매시간 두 번 업데이트되며, 가격 변동이 1%에 도달할 때도 업데이트된다. Tectonic은 아직 기술 분석 보고서를 발표하지 않았으므로, 공격자가 어떤 거래로 TONIC 가격을 끌어올렸는지, 가격 소스가 어떻게 비정상 견적을 수신했는지, 그리고 최종 부실채권이 어떻게 배분될지는 여전히 공식 확인을 기다리고 있다.

동일한 수법, Moonwell 사흘 전 약 913만 달러 부채 남겨

8월 27일, Base 대출 프로토콜 Moonwell의 MAMO 마켓도 저유동성 토큰 가격 조작을 겪었다. Moonwell 거버넌스 포럼에서 발표한 복구 보고서에 따르면, 공격자는 약 194.7만 USDC 초기 자금을 투입해 총 약 9431만 개의 MAMO를 매수했으며, mMAMO 계약에 직접 약 5339만 개의 MAMO를 전송했다. 직접 전송은 새로운 mMAMO를 발행하지 않았지만, 각 mMAMO에 해당하는 기초 자산을 약 3.68배로 끌어올렸다.

8월 27일 공격 기간 동안 MAMO 가격 소스는 약 0.0106달러에서 0.4313달러로 상승했다. 담보 비율과 오라클 호가가 동시에 상승한 후, 공격자는 18회의 대출을 완료해 cbBTC, WETH, USDC 및 wstETH를 인출했으며, 누적 가치는 약 1103만 달러에 달했다. 청산은 마지막 대출 32초 후 시작되었고, Moonwell은 최종적으로 약 913.1만 달러의 잔여 부채를 기록했다.

2022년 Mango Markets 사건도 마찬가지였다. 미국 상품선물거래위원회(CFTC)에 따르면, 2022년 10월 공격자는 약 30분 만에 MNGO 가격을 13배 이상 끌어올린 후, 부풀려진 포지션 가치를 바탕으로 1.1억 달러 이상의 자산을 인출했다. 공격자는 이후 Mango Markets에 약 6700만 달러를 반환하고 약 4700만 달러를 보유했다. CFTC는 2023년 집행 조치를 제기하며 이를 탈중앙화 거래 플랫폼 오라클 조작 관련 첫 사건으로 분류했다.

Tectonic과 Moonwell은 4일 만에 연속으로 피해를 입었으며, 두 사건 모두 저유동성 토큰 가격의 급등이 발생했고, 스마트 계약이 이후 상승된 호가에 따라 대출 한도를 확대했다. 유사한 프로젝트는 모두 주의를 기울여야 할 것으로 보인다.

약 6000만 달러 이상이 여전히 Cronos 주소에 남아 있음

현재까지 Cronos 체인 중단은 공격자가 크로스체인으로 자금을 계속 이동하는 것을 제한했으며, 네트워크의 출금, 상환, 담보 추가 및 청산 작업도 중단시켰다. Tectonic 사용자는 대출 포지션을 조정할 수 없으며, Cronos의 다른 애플리케이션도 거래를 제출하거나 확인할 수 없다.

공격 주소에 남아 있는 자산이 동결되거나 반환될 수 있는지 여부는 여전히 Cronos가 블록 생성을 재개할 때 채택하는 처리 방안과 Tectonic의 관련 부채 및 풀 잔액에 대한 최종 정산에 달려 있다. 프로토콜 풀에 부실채권이 발생할 경우, Tectonic은 각 자산 풀의 부족분, 출금 가능 잔액 및 사용자 보상 방안도 공개해야 한다.

8월 31일 기준으로 Tectonic은 정확한 손실 금액과 공격 원인을 아직 확인하지 못했으며, Cronos도 블록 생성 재개 시간이나 공격 자산 처리 방안을 발표하지 않았습니다.