11월 5일, bZX 프로토콜이 해킹당했다는 보고가 있었습니다. 공격자는 피해를 입은 스마트 컨트랙트의 토큰을 탈취했습니다. 공격 트랜잭션에 대한 초기 분석 후, 저희는 이것이 개발자의 개인 키 유출로 인한 것으로 의심하고 있습니다.
공격 과정
과정은 대략적으로 단순합니다. 권한이 있는 함수 transferOwnership이 호출되어 피해를 입은 스마트 컨트랙트의 소유권을 새로운 컨트랙트(예: 0x0acc0e5faa09cb1976237c3a9af3d3d4b2f35fa5)로 이전합니다. 그런 다음 새로운 컨트랙트 소유자는 스마트 컨트랙트에 승인된 모든 토큰을 임의의 주소로 전송할 수 있습니다.
권한이 있는 함수 transferOwnership은 스마트 컨트랙트의 현재 소유자만 호출할 수 있다는 점에 유의하세요. 실제로, 저희는 이 함수의 호출자가 0xb7f72028d9b502dc871c444363a7ac5a52546608임을 확인했으며, 이는 피해를 입은 스마트 컨트랙트의 컨트랙트 생성자입니다.
저희는 컨트랙트 생성자가 다른 주소로 소유권을 이전한 정확한 이유를 알지 못합니다. 그러나 저희는 이것이 개발자 개인 키의 유출(또는 노출)로 인한 것으로 의심하고 있습니다.
결론
요약하자면, DApp의 개인 키 보안은 애플리케이션의 보안에 있어 필수적이며, 특히 DAO를 사용하지 않는 애플리케이션의 경우 더욱 그러합니다. 저희는 프로젝트 소유자가 개인 키를 보호하기 위해 기밀 컴퓨팅 및 MPC와 같은 새로운 기술을 사용할 것을 권장합니다.
BlockSec 소개
BlockSec은 세계적으로 著名한 보안 전문가 그룹이 2021년에 설립한 선구적인 블록체인 보안 회사입니다. 이 회사는 대중적 채택을 촉진하기 위해 새롭게 부상하는 Web3 세계의 보안과 사용성을 향상시키는 데 전념하고 있습니다. 이를 위해 BlockSec은 스마트 컨트랙트 및 EVM 체인 보안 감사 서비스, 보안 개발 및 위협을 선제적으로 차단하기 위한 Phalcon 플랫폼, 자금 추적 및 조사를 위한 MetaSleuth 플랫폼, 그리고 암호화폐 세계에서 Web3 빌더들이 효율적으로 활동할 수 있도록 지원하는 MetaSuites 확장 프로그램을 제공합니다.
현재까지 이 회사는 MetaMask, Uniswap Foundation, Compound, Forta, PancakeSwap 등 300개 이상의 유명 고객사에 서비스를 제공했으며, Matrix Partners, Vitalbridge Capital, Fenbushi Capital을 포함한 저명한 투자자들로부터 두 차례의 투자 라운드에서 수천만 달러를 유치했습니다.
공식 웹사이트: https://blocksec.com/
공식 트위터 계정: https://twitter.com/BlockSecTeam
