미터(Meter) - REKT

또 다른 공격으로 BSC상의 Meter.io가 440만 달러어치를 도난당했고, 헌드레드 파이낸스(Hundred Finance)도 부차적으로 330만 달러의 피해를 입었습니다.

이것은 저희의 리더보드에서 일곱 번째에 해당하는 공격으로, 크로스체인 범죄가 새로운 범죄 트렌드로 떠오르고 있음을 보여줍니다.

대체 언제쯤 기술이 완성되어 이런 피해가 없어질까요?

계량기(Meter)가 작동중입니다.

Credit: @ishwinder

공격은 2월 5일 ~6am PST에 시작되었으며, 공격자가 악의적으로 엄청난 양의 BNB와 wETH 토큰을 생성하여, Meter에 의해 모든 브릿지 트랜잭션이 막히기 전에 BNB와 wETH 리저브의 자금을 모두 뽑아갔습니다.

Meter_io 패스포트(Passport)는 ChainSafe의 ChainBridge 포크였는데, ERC20 핸들러의 입금 메서드의 한 부분만 바꾼 것이었습니다.

이 변화는 기본적으로 브릿지 되는 토큰이 이미 래핑(wrap)된 고유 토큰이라면, 래핑된 고유 토큰은 그전에 이미 래핑이 해제되어 핸들러 계약으로 전송되었으므로 소각되거나 잠기지 않는다고 가정하는 것을 전제로 합니다.

이 가정은 calldata 내부의 자산 가치(결론적으로 핸들러의 입금 메서드를 통과하게 되는)를 주장하는 입금 메서드 depositEth에 대해서는 문제가 없습니다:

하지만 같은 컨트랙트에서, 보호받지 못하는 대부분의 또 다른 입금 메서드의 경우 이 가정에 문제가 발생합니다.

해커는 이것을 파악하여 calldata에 임의의 수량을 전송하여, 핸들러의 입금을 통과하게 만들었습니다. 훔친 자금은 한 시간 동안 여러 개의 트랜잭션들로 토네이도 캐시로 보내졌습니다.

이 공격은 부가적인 피해를 입혔습니다.

헌드레드 파이낸스는 Meter 브릿지에 의존하고 있었기 때문에 330만 달러의 피해를 입었습니다.

헌드레드는 트윗을 통해 피해사실을 알렸습니다.

오늘 헌드레드 파이낸스의 @MoonriverNW 디플로이먼트가 @Meter_IO에 가해진 브릿지 공격의 영향을 받아, 로컬 BNB.bsc 가격이 하락되었습니다.

몇몇 계정은 BNB.bsc를 하락된 가격으로 구매하여, 이 토큰들을 글로벌 체인링크 가격의 담보로 사용하여, 저희의 플랫폼에서 영향을 받지 않은 자산을 빌릴 수 있었습니다. 현재 MIM과 FRAX가 영향을 받은 상태입니다.

저희는 이 계정들의 주인 분들께, 다른 유저들이 그들이 제공한 유동성에 접근할 수 있도록 빌린 자산을 반환해주시기를 요청 드립니다. 이미 한 계정은 반환해주셨고, 나머지 세 계정에 대해서도 바운티를 드릴 의향이 있으니 꼭 반환해주시기를 부탁드립니다.

저희는 헌드레드 파이낸스의 설립자인 vfat과 인터뷰를 진행하였습니다:

rekt:

이번 사건으로 인해서 헌드레드 파이낸스에 어떤 변화가 있을까요? Meter와 사건을 해결하기 위해 일하고 있다고 말씀하였는데 - 혹시 더 자세한 내용을 부탁드려도 될까요?

vfat:

안녕하세요, 당연히 저희는 이번 이슈를 중요하게 의식하고 있습니다. 저희가 추가하는 새로운 체인 / 브릿지는 그들만의 리스크를 가지고 있으며, 브릿지 공격자들에게 대출 프로토콜은 자연스러운 공격 목표입니다.

저희는 Meter가 Moonriver에서 래핑된 BTC의 주요 소스이기 때문에 Meter를 사용하였고, 이것은 고유 브릿지와 멀티체인을 합친 것으로 우리가 사용할 최대치인 3개의 브릿지를 사용하게 되는 것입니다. 앞으로는 이런 부분에서 더욱 엄격하게 할 것이며, 각 자산에 대해서 어떤 브릿지를 사용하고 있는지 더 자세한 정보들을 공개할 예정입니다. 저희는 또한 미래에 비슷한 공격이 가해질 것에 대비하여 추가로 모니터링을 실시할 예정입니다.

Meter는 이번 해킹에 대해서 책임을 지고 그들이 감당 가능한 만큼의 고유 토큰을 사용하여 보상해드릴 것입니다. 저희는 현재 영향을 받은 주소들과 피해규모를 파악하고 있는 단계입니다.

한 가지 흥미로운 점은 헌드레드에 총 4번의 기회주의적인 대출이 있었으나, 처음 두 번은 반환되었고, 나머지 두 번에 대해서도 약간의 희망을 가지고 있습니다.

현재 헌드레드 유저의 피해금액은 330만 달러입니다.

헌드레드 파이낸스에서 진행된 “기회주의적인 대출”이 자발적으로 자산을 반환한 것은 보기 드문 것이었으며, 모든 피해에 대해서 Meter가 책임을 진다는 것은 칭찬받을만한 일입니다.

Meter는 해커를 잡아내기 위한 증거들을 가지고 있다고 하며, 조사기관과 협력하여 정의를 실현할 것이라고 말했습니다.

그러나, 온체인 범죄는 오프체인 결과로 잘 나타나지 않으며, 곧 이러한 종류의 공격이 또 발생할 것입니다.

브릿지에 대한 공격은 계속될 것이고, 유저들은 돈을 계속 잃을 것이나, 결과적으로 누군가는 안전한 브릿지를 만들 것입니다.

아직 리스크가 없다고 하기는 너무 이르지만, 이는 더 많은 기회가 있음을 의미합니다.

REKT는 익명 작성자들에 의한 공공 플랫폼이며, REKT에 작성된 관점이나 내용에 대해서 그 어떤 책임도 지지 않습니다.

기부 (ETH / ERC20): 0x3C5c2F4bCeC51a36494682f91Dbc6cA7c63B514C

disclaimer:

REKT는 당사 웹 사이트의 익명의 작성자 또는 REKT에 의해 게시되거나 관련된 서비스에서 게시되는 콘텐츠에 대해 어떠한 책임도 지지 않습니다. 당사는 익명 작성자들의 행동 및 게시물에 대한 규칙을 제공하지만, 익명의 작성자가 웹 사이트 또는 서비스에 게시, 전송 혹은 공유한 내용을 통제하거나 책임지지 않으며, 귀하가 웹 사이트 또는 서비스에서 직면할 수 있는 불쾌함, 부적절함, 음란함, 불법 또는 기타 해로운 콘텐츠에 대해서도 책임을 지지 않습니다. REKT는 당사 웹 사이트 또는 서비스 사용자의 온라인 또는 오프라인 행위에 대한 책임을 지지 않습니다.