불법 자금 흐름 사례 연구: 5,500만 달러 DAI 피싱

사건 배경

2024년 8월 20일, 피싱 트랜잭션으로 인해 5,400만 달러 이상의 스테이블 토큰 DAI가 탈취되었습니다. 유출된 주소는 Gemini가 자금을 제공한 볼트(vault)이며, 관련된 "Maker Vault 소유자" 주소는 0xf2b8입니다. 피셔는 피해자(볼트의 원래 소유자)를 속여 볼트 소유자를 피셔가 제어하는 주소로 변경하는 트랜잭션에 서명하게 한 후, 볼트를 비우는 트랜잭션을 실행하였습니다.

• 피싱 주소: 0x0000db5c8b030ae20308ac975898e09741e70000
• 볼트 탈취 주소: 0x5D4b2A02c59197eB2cAe95A6Df9fE27af60459d4
• 소유자 변경 트랜잭션: 0x2805, 0xb721
• 탈취 트랜잭션: 0xf700

자금 흐름 분석

2024년 8월 20일, 피해 볼트의 원래 소유자는 속임을 당하여 볼트 소유자를 피셔가 제어하는 주소로 변경하는 트랜잭션에 서명하였습니다. 약 5시간 후, 피셔는 소유자를 새로운 주소로 추가 변경하는 트랜잭션을 전송하였습니다. 새로운 주소가 볼트에 대한 완전한 제어권을 획득한 지 20분 후, 해당 주소는 볼트에서 5,500만 DAI를 빼내는 트랜잭션에 서명하였습니다.

이후 두 시간 이내에 불법으로 취득한 모든 DAI 토큰은 피셔가 제어하는 하위 주소들로 이전되었으며, 볼트를 최초로 탈취한 주소에는 아무것도 남지 않았습니다. 주소 0x5D4b에 직접 연결된(즉, 초기 주소로부터 1홉 거리에 있는) 하위 주소는 총 6개입니다. DAI 토큰의 대부분(4,400만)은 하위 주소들로 직접 이전되었으며, 1,000만은 네이티브 토큰인 ETH(3,880개)로 스왑된 후 주소 0x8cc5로 이동되었습니다. 스왑에 사용된 DEX는 CoW Protocol: GPv2Settlement입니다. 스왑 트랜잭션: 0x7c63.

원래 주소 0x5D4b에서 1홉 하위 주소까지의 탈취된 DAI 자금 흐름 그래프:

불법 자금을 1홉 하위 주소로 이전한 후, 공격자는 자금을 더 깊은 주소로 분할하여 이동하기 시작하였습니다. 이전 과정에서 피셔는 하위 주소가 보유한 DAI를 점진적으로 ETH로 스왑하였습니다. 초기 주소로부터 4홉 떨어진 하위 주소에서는 탈취된 모든 DAI가 이미 ETH로 스왑된 상태였습니다. ETH 형태의 불법 자산은 이후 중앙화 거래소(eXch, KuCoin, ChangeNOW)와 크로스체인 브리지(THORChain, Hop Protocol)로 유입되었습니다. (이름을 클릭하면 해당 현금화 주소를 탐색할 수 있습니다.) eXch로 불법 수익을 입금한 트랜잭션 예시: 0x2e42, 0xa982, 0x1e1e, 0xb7a9. THORChain으로 불법 수익을 이동한 트랜잭션 예시: 0x5c06, 0xf824, 0x391e.

2홉 주소(초기 주소로부터)에서 5홉 주소까지의 자금 흐름 일부:

불법 수익을 깊은 하위 주소로 이전하는 과정 중, 가장 긴 이전 경로는 최대 12홉에 달하였으며, 약 8만 달러가 거래소 KuCoin 17로 이동되었습니다. 아래 자금 흐름 그래프에서 볼 수 있듯이, 2024년 8월 21일부터 8월 22일 사이에 공격자는 12홉 경로를 통해 38 ETH를 중앙화 거래소로 점진적으로 이전하였습니다.

대규모 이전 금액으로 인한 과도한 주목을 피하기 위해, 범행자들은 대규모 자금을 여러 주소로 분산하고 소액 이전을 통해 자산을 더 깊은 주소로 이동하는 경향이 있습니다. 1홉 주소 0x860c에서 165만 DAI를 36개의 소액으로 분할한 예시:

관련 주요 주소 및 트랜잭션

자금 흐름 개요:

MetaSleuth에서 세부 내용 탐색: https://metasleuth.io/result/eth/0x5d4b2a02c59197eb2cae95a6df9fe27af60459d4?source=c81289c1-2bd9-49af-a397-e4cc71990595