2021년 8월 8일 (베이징 시간, 블록 높이 12982491), Zerogoki가 공격을 받아 약 670K USD의 손실이 발생했습니다. 조사 결과, 이는 손상된 가격 오라클과 관련이 있는 것으로 밝혀졌습니다. 공격자는 합법적인 개인 키로 서명된 가격 오라클을 제공했으며, 여기에는 스왑될 토큰 수량이 조작된 값으로 포함되어 있었습니다. 그러나 공격자가 유효한 서명을 구성할 수 있었던 이유는 아직 밝혀지지 않았습니다.
코드 분석
먼저 공격받은 컨트랙트 (0x80ecdb90)에 대한 분석을 수행했습니다.
swap 함수는 decode_op를 호출하여 오라클의 정보를 가져옵니다. 검증을 수행한 후, 컨트랙트는 ns[0] x.token을 소각하고, ns[1] y.token을 발행하며 GOV 컨트랙트에 스왑 수수료를 지불합니다.
decode_op의 구현을 보면, 파라미터에 세 개의 서명이 존재합니다. 이 서명들은 토큰 스왑(소각 및 발행)을 수행하기 전에 확인(및 권한 부여)되어야 합니다.
요약하자면, swap 함수의 첫 번째 파라미터 ns는 스왑될 토큰의 수량을 정의합니다. 두 번째 파라미터에는 검증이 필요한 서명들이 포함되어 있습니다. 검증이 통과되면 스왑되는 토큰의 수량은 첫 번째 파라미터(ns)에 정의된 값으로 결정됩니다.
공격 분석
공격 트랜잭션 0x81e5f715에서, 공격자는 유효한 서명이 포함된 메시지를 구성하고 조작된 ns 파라미터(대량의 zUSD 포함)를 전달했습니다. 그 결과, 공격자는 300 REI를 사용하여 700k zUSD를 스왑했습니다.
서명과 대조된 세 개의 주소는 다음과 같습니다:
0x0d93A21b4A971dF713CfC057e43F5D230E76261C
0x3054e19707447800f0666ba274a249fc9a67aa4a
0x4448993f493b1d8d9ed51f22f1d30b9b4377dfd2그러나 현재 단계에서는 이 주소들의 개인 키가 유출된 이유에 대한 정보가 없습니다.
교훈
DeFi 프로젝트를 안전하게 만드는 것은 쉬운 일이 아닙니다. 코드 감사 외에도, 우리는 커뮤니티가 프로젝트 상태를 모니터링하는 데 적극적인 방법을 취하고, 공격이 발생하기 전에 차단해야 한다고 생각합니다.
BlockSec 소개
BlockSec은 2021년 전 세계적으로 著名한 보안 전문가 그룹이 설립한 선구적인 블록체인 보안 회사입니다. 이 회사는 대중적 채택을 촉진하기 위해 새롭게 부상하는 Web3 세계의 보안성과 사용성을 향상시키는 데 전념하고 있습니다. 이를 위해 BlockSec은 스마트 컨트랙트 및 EVM 체인 보안 감사 서비스, 보안 개발 및 위협을 선제적으로 차단하기 위한 Phalcon 플랫폼, 자금 추적 및 조사를 위한 MetaSleuth 플랫폼, 그리고 Web3 빌더들이 암호화폐 세계를 효율적으로 탐색할 수 있도록 돕는 MetaSuites 확장 프로그램을 제공합니다.
현재까지 이 회사는 MetaMask, Uniswap Foundation, Compound, Forta, PancakeSwap 등 300개 이상의 저명한 고객사에 서비스를 제공했으며, Matrix Partners, Vitalbridge Capital, Fenbushi Capital을 포함한 유명 투자자들로부터 두 차례의 투자 라운드를 통해 수천만 달러를 유치했습니다.
공식 웹사이트: https://blocksec.com/
공식 트위터 계정: https://twitter.com/BlockSecTeam
