Back to Blog

주간 Web3 보안 사고 요약 | 2026년 1월 25일 – 2월 1일

Code Auditing
February 4, 2026
12 min read

지난 한 주(2026년 1월 25일~2월 1일) 동안 BlockSec은 총 6건의 공격 사고를 탐지 및 분석했으며, 총 추정 손실액은 약 $18.05M입니다. 아래 표는 각 사고를 요약한 것이며, 각 사례에 대한 상세 분석은 이후 소절에서 제공됩니다.

날짜 사고 유형 추정 손실액
2026/01/25 SwapNet 사고 부적절한 입력값 검증 ~$13.41M
2026/01/25 Aperture Finance 사고 부적절한 입력값 검증 ~$3.67M
2026/01/27 PGNLZ 사고 토큰 설계 결함 ~$100K
2026/01/28 XPlayer 사고 토큰 설계 결함 ~$717K
2026/01/28 Holdstation 사고 키 탈취 ~$100K
2026/01/30 Revert Finance 사고 비즈니스 로직 결함 ~$50K

1. SwapNet 사고

간략한 요약

2026년 1월 25일, Base, BSC, Arbitrum에서 운영되는 SwapNet 프로토콜이 공격을 받아 약 $13.41M의 손실이 발생했습니다. 이 사고는 사용자 제공 입력값에 대한 불충분한 검증에서 비롯되었으며, 공격자가 공격자 제어 파라미터로 transferFrom()을 호출하는 콜을 조작할 수 있었습니다. 기존 토큰 허용량을 악용하여 공격자는 token.transferFrom(victim, attacker, amount) 형태의 전송을 효과적으로 실행함으로써 피해자의 승인된 자산을 탈취할 수 있었습니다.

배경

SwapNet 프로토콜은 AMM 및 프라이빗 마켓 메이커를 포함한 여러 온체인 소스에서 유동성을 집계하여 최적의 스왑 경로를 탐색하는 DEX 애그리게이터입니다. 이 프로토콜은 스왑 실행 시 사용자가 커스텀 라우터 또는 풀을 지정할 수 있도록 허용하여 추가적인 유연성을 제공합니다.

취약점 분석

이 사고는 사용자 제공 입력값에 대한 불충분한 검증으로 인해 발생하였으며, 공격자가 임의의 파라미터로 transferFrom() 호출을 유발할 수 있었습니다. 그 결과, 피해자 컨트랙트(예: 0x616000e384Ef1C2B52f5f3A88D57a3B64F23757e)에 이전에 승인된 자산이 공격자에게 전송될 수 있었습니다.

디컴파일된 바이트코드를 기반으로 분석한 결과, 함수 0x87395540()은 중요한 입력값에 대한 적절한 검증이 부재한 것으로 보입니다. 예상되는 라우터 또는 풀 주소를 토큰 주소(예: USDC)로 교체함으로써, 컨트랙트가 해당 토큰을 유효한 실행 대상으로 잘못 처리합니다. 이로 인해 공격자가 제어하는 calldata로 저수준 호출이 실행됩니다.

결과적으로, 피해자 컨트랙트는 approvedAsset.transferFrom(victim, attacker, amount) 형태의 호출을 수행하여 공격자가 모든 승인된 자산을 탈취할 수 있게 됩니다.

공격 분석

SwapNet에 대한 다수의 공격이 관찰되었습니다. 여기서는 Base 트랜잭션 0xc15df1d131e98d24aa0f107a67e33e66cf2ea27903338cc437a3665b6404dd57을 예시로 사용합니다. 공격자는 단순히 악의적인 입력값으로 피해자 컨트랙트의 함수 0x87395540()을 호출했습니다. 이 호출은 두 가지 주요 단계로 구성됩니다.

  1. 핵심 내부 변수(예: v51)가 USDC로 설정되어 의도된 라우팅 로직을 우회했습니다.
  1. 공격자가 제어하는 calldata를 사용하여 저수준 호출이 실행되었으며, 그 결과 USDC.transferFrom()이 호출되어 승인된 모든 USDC가 탈취되었습니다.

결론

이 사고는 사용자 제공 입력값에 대한 불충분한 검증으로 인해 발생했으며, 해당 함수에 적절한 입력 파라미터 검사를 추가하면 이 문제를 완화하는 데 도움이 됩니다.

2. Aperture Finance 사고

간략한 요약

2026년 1월 25일, Ethereum, Base, Arbitrum에서 운영되는 Aperture 프로토콜이 공격을 받아 약 $3.67M의 손실이 발생했습니다. 근본 원인은 사용자 제공 입력값에 대한 불충분한 검증으로, 공격자가 내부 함수 0x1d33()을 통해 임의의 파라미터로 transferFrom() 호출을 유발할 수 있었습니다. 그 결과, 공격자는 approvedToken.transferFrom(victim, attacker, amount) 형태의 호출을 수행하여 모든 승인된 자산을 탈취할 수 있었습니다.

배경

Aperture Finance는 사용자를 대신하여 Uniswap V3 LP와 같은 집중 유동성 포지션을 관리하는 DeFi 프로토콜입니다. 클로즈드 소스 컨트랙트(예: 0xD83d960deBEC397fB149b51F8F37DD3B5CFA8913)를 통해 사용자가 네이티브 토큰을 사용하여 Uniswap V3 포지션을 민팅하고 관리할 수 있습니다.

Uniswap V3 포지션 민팅을 위한 의도된 워크플로우

함수 0x67b34120()을 통해 Uniswap V3 포지션을 민팅할 때, 컨트랙트는 의도된 세 단계의 워크플로우를 따릅니다:

  1. 네이티브 토큰 래핑

  2. 내부 함수 0x1d33()을 통한 래핑된 토큰 스왑

  3. UniswapV3 포지션 민팅

문제는 2단계에서 발생합니다: 내부 함수 0x1d33()은 저수준 호출을 통해 커스터마이즈된 스왑을 수행하는데, 핵심 파라미터(예: 호출 대상 및 calldata)가 사용자에 의해 제어되고 불충분하게 검증되어 의도치 않은 외부 호출이 가능합니다. 자세한 내용은 다음 섹션에서 제공됩니다.

취약점 분석

이 사고는 저수준 호출에 대한 불충분한 입력값 검증으로 인해 발생했습니다. 함수 0x67b34120()이 호출될 때, 내부 함수 0x1d33()은 사용자가 제공한 calldata를 사용하여 저수준 호출을 실행하며, 호출 대상이나 함수 선택자에 대한 엄격한 제약을 강제하지 않습니다.

아래 그림에서 볼 수 있듯이, 저수준 호출을 유발하는 데 사용되는 calldata는 순전히 공격자의 입력값을 기반으로 합니다.

이를 통해 공격자는 피해자 컨트랙트의 컨텍스트에서 approvedToken.transferFrom(victim, attacker, amount)가 실행되도록 악의적인 calldata를 구성할 수 있습니다. 그 결과, ERC20 토큰뿐만 아니라 승인된 Uniswap V3 포지션 NFT도 탈취될 수 있습니다.

공격 분석

Aperture Finance에 대한 다수의 공격이 관찰되었습니다. 이 섹션에서는 Ethereum 트랜잭션 0x8f28a7f604f1b3890c2275eec54cd7deb40935183a856074c0a06e4b5f72f25a를 대표적인 예시로 사용합니다.

  1. 공격자는 공격 컨트랙트 0x5c92884dFE0795db5ee095E68414d6aaBf398130을 생성했습니다.

  2. 공격 컨트랙트는 악의적인 입력값과 100 wei ETH(즉, msg.value == 100)를 사용하여 함수 0x67b34120()을 호출했습니다.

  • a. 네이티브 ETH가 함수 WETH.deposit()을 통해 WETH로 래핑되었습니다.
  • b. 내부 함수 0x1d33()이 저수준 호출을 수행하기 위해 호출되었습니다. 이 단계에서 피해자 컨트랙트의 컨텍스트에서 WBTC.transferFrom(victim, attacker, amount) 호출이 실행되어 공격자가 승인된 토큰을 탈취할 수 있었습니다. 주목할 점은 함수 0x1d33() 마지막에 잔액 검사가 통과되었다는 것입니다. 구체적으로, 함수 0x1d33()은 잔액 변화와 공격자가 지정한 스왑 출력값(즉, varg2.word2)을 비교했습니다. 그 결과, 아무것도 받지 않고 성공적으로 실행되었습니다.
  • c. 마지막으로, 함수 NonfungiblePositionManager.mint()가 호출되어 100 wei WETH를 사용하여 공격자를 위한 포지션이 민팅되었습니다.

흥미로운 발견

정상 및 비정상 민팅 트랜잭션을 비교한 결과, 두 트랜잭션 모두 동일한 스펜더(예: OKX DEX: TokenApprove)에 토큰을 승인했지만, 서로 다른 라우터 주소(즉, DexRouter와 WBTC)를 지정했습니다. 이는 컨트랙트가 승인 스펜더에 대한 검증은 수행하면서 실제 실행 대상을 검증하지 않아, 임의 호출을 통해 악용 가능한 치명적인 취약점이 남아 있음을 시사합니다.

정상 트랜잭션: tx link1

비정상 트랜잭션: tx link2

결론

이 사고는 사용자 제공 입력값에 대한 불충분한 검증으로 인해 발생했습니다. 적절한 입력값 검증을 추가하면 이 문제를 완화하는 데 도움이 됩니다.

3. PGNLZ 사고

간략한 요약

2026년 1월 27일, BNB 스마트 체인의 PancakeSwap V2 USDT–PGNLZ 풀이 공격을 받아 약 $100K의 손실이 발생했습니다. 근본 원인은 PGNLZ 토큰의 결함 있는 소각 메커니즘으로, 공격자가 풀의 잔액에서 직접 PGNLZ를 소각할 수 있었습니다. 이로 인해 풀의 PGNLZ 준비금이 인위적으로 감소하여 심각한 준비금 불균형이 발생하고 온체인 가격이 왜곡되었습니다. 공격자는 이렇게 조작된 가격을 활용하여 풀에서 USDT를 탈취하는 스왑을 실행했습니다.

배경

PGNLZ 토큰은 PancakeSwap V2 풀을 대상으로 하는 소각 메커니즘을 도입합니다. 이 소각 메커니즘은 특정 조건에서 트리거될 수 있습니다. 구체적으로, 풀에서 각 구매 시 토큰은 풀의 USDT 잔액이 미리 정의된 임계값에 도달했는지 확인합니다. 임계값에 도달하면 풀에서 일정량의 PGNLZ를 소각하고 tradingEnabled = true로 설정하여 이후 일반 사용자가 풀과 상호작용할 수 있게 합니다. 거래 모드가 활성화되고 사용자가 풀에서 PGNLZ를 판매할 때, 토큰은 먼저 이전 사용자의 PGNLZ 판매량을 기준으로 풀이 보유한 PGNLZ를 소각합니다.

취약점 분석

핵심 문제는 PGNLZ 토큰이 도입한 결함 있는 소각 메커니즘으로, 가격 조작 공격에 취약합니다. 구체적으로, 공격자는 수신자를 isExcludedFromFee 주소(즉, 0xdEaD)로 설정함으로써 거래 모드 제한을 우회하여 풀의 준비금을 조작(즉, PGNLZ 구매)할 수 있습니다. 그런 다음 공격자는 소각 메커니즘(즉, 함수 _executeBurnFromLP()을 통해)을 활용하여 풀에서 직접 PGNLZ를 소각하여 풀의 준비금을 추가로 조작합니다. 그 결과, 공격자는 조작된 풀에서 역방향 스왑(즉, PGNLZ 판매)을 수행하여 이익을 얻을 수 있습니다.

공격 분석

다음 분석은 트랜잭션 0xc7270212846136f3d103d1802a30cdaa6f8f280c4bce02240e99806101e08121을 기반으로 합니다.

  1. 공격자는 Moolah에서 플래시 론으로 1,059e18 BTCB를 빌리고, Venus에서 1,059e18 BTCB를 담보로 30,000,000e18 USDT를 빌렸습니다.

  2. 공격자는 거래 모드가 비활성화된 상태에서 PancakeSwap V2 풀에서 23,337,952e18 USDT를 978,266e18 PGNLZ로 스왑했습니다. 공격자는 수신자를 0xdEaD로 설정하여 해당 검증을 우회함으로써 스왑을 가능하게 했습니다.

  3. 공격자는 PancakeSwap V2 풀에서 미리 보유하고 있던 17e18 PGNLZ를 USDT로 스왑했습니다. 이 스왑 중에 함수 _executeBurnFromLP()가 트리거되어 풀에서 4,240e18 PGNLZ가 소각되었습니다(즉, 이전 PGNLZ 판매량 기준). 이 소각 과정으로 풀의 준비금에는 0.00000001e18 PGNLZ만 남아 풀의 PGNLZ 준비금이 추가로 조작되었습니다. 고갈된 PGNLZ 준비금으로 공격자는 단 17e18 PGNLZ로 풀에서 23,438,853e18 USDT를 탈취할 수 있었습니다.

  4. 공격자는 Venus의 포지션을 상환하고 최종적으로 100,901e18 USDT의 이익을 얻었습니다.

결론

이 사고의 근본 원인은 PGNLZ의 결함 있는 소각 메커니즘으로, 공격자가 가격 조작 공격을 수행하여 풀에서 USDT를 탈취할 수 있었습니다. 결과적으로 이 사고는 약 $100K의 총 손실을 초래했습니다. 이러한 문제를 완화하기 위해 프로젝트는 시스템 내에 적절한 접근 제어를 구현하고, 잠재적인 가격 조작 공격을 방지하기 위해 소각 메커니즘에 대한 포괄적인 테스트를 수행해야 합니다.

4. XPlayer 사고

간략한 요약

2026년 1월 28일, BNB 스마트 체인의 PancakeSwap V2 XPL/USDT 풀이 공격을 받아 약 $717K의 손실이 발생했습니다. 이 사고는 XPL 토큰의 결함 있는 소각 메커니즘으로 인해 공격자가 풀의 잔액에서 직접 XPL을 소각할 수 있었던 것이 원인입니다. 풀의 XPL 준비금을 인위적으로 감소시킴으로써 공격자는 심각한 준비금 불균형을 야기하고 스왑 가격을 왜곡한 후, 조작된 가격을 이용하여 풀에서 USDT를 탈취했습니다.

배경

토큰 XPL은 해당 풀에서 XPL 토큰을 소각한 후 함수 sync()를 호출하여 풀의 준비금을 갱신하는 소각 메커니즘을 도입합니다. 구체적으로, 컨트랙트 NodeDistributePlus에서 함수 DynamicBurnPool()을 호출하여 실행 윈도우 내에서 일일 소각 작업을 수행할 수 있습니다. 소각량은 남은 일일 소각 한도를 초과할 수 없습니다.

취약점 분석

이 사고의 근본 원인은 컨트랙트 XPL의 결함 있는 소각 메커니즘에서 비롯됩니다. 특히, 컨트랙트 XPL의 함수 DynamicBurnPool()은 특정 권한 있는 주소가 유동성 쌍에서 직접 XPL을 소각할 수 있도록 허용합니다.

이러한 권한 있는 주소 중 하나는 컨트랙트 NodeDistributePlus(즉, nodeShareAddress)로, 일일 소각 일정을 구현합니다. 권한 있는 계정이 일일 소각 목표를 설정한 후, 모든 호출자는 일일 소각 한도에 도달할 때까지 2일 윈도우 내에서 NodeDistributePlus.DynamicBurnPool()을 호출할 수 있습니다.

결과적으로 이 설계는 누구든 해당 풀에서 XPL을 소각하고 준비금 업데이트를 강제할 수 있게 합니다. 공격자는 이 설계를 활용하여 풀 준비금을 조작하고 역방향 스왑을 실행하여 풀의 USDT를 탈취할 수 있습니다.

공격 분석

다음 분석은 트랜잭션 0x9779341b2b80ba679c83423c93ecfc2ebcec82f9f94c02624f83d8a647ee2e49을 기반으로 합니다.

  1. 공격자는 플래시 론을 통해 약 239,523,169e18 USDT를 빌렸습니다.
  1. 공격자는 100e18 USDT를 69e18 XPL로 스왑했습니다. 이 단계에서 풀의 준비금이 현재 잔액과 동기화되었습니다.
  1. 공격자는 217,118,801e18 USDT를 약 691,022e18 XPL로 스왑했습니다. 이 단계는 이후 준비금 조작을 위한 풀 상태를 설정하기 위해 신중하게 규모가 조정되었습니다.
  1. 공격자는 함수 DynamicBurnPool()을 호출하여 풀에서 3,078e18 XPL을 소각했습니다. 이 소각 과정으로 풀의 XPL 준비금이 극히 작은 값(예: 1 wei)으로 추가 조작되었습니다.
  1. 공격자는 조작된 준비금으로 69e18 XPL을 218,083,490e18 USDT로 스왑했습니다.
  1. 공격자는 플래시 론을 상환하고 718,844e18 USDT의 이익을 얻었습니다.

결론

이 사고는 결함 있는 소각 메커니즘으로 인해 발생했으며, 누구든 풀에서 직접 XPL을 소각하여 준비금을 조작할 수 있었습니다. 결과적으로 이 결함 있는 설계는 공격자가 가격 조작 공격을 수행하여 풀의 귀중한 자산을 탈취할 수 있게 합니다. 유사한 문제를 완화하기 위해, 프로젝트는 풀에서 자산을 임의로 소각하는 것을 방지해야 합니다.

5. Holdstation 사고

간략한 요약

2026년 1월 28일, Holdstation은 프로젝트 제어 지갑의 탈취와 관련된 침해 사고를 보고했으며, 총 추정 손실액은 약 $100K입니다. 공격자는 World Chain, BSC, Berachain, zkSync에서 WLD, USD1, BNB, BERA를 포함하여 약 $66K 상당의 여러 자산을 탈취한 후, 이더리움에서 약 22.41 ETH로 수익을 통합하고 이를 약 0.755 BTC의 비트코인으로 브릿징했습니다. 이 사고는 팀원의 기기가 악성 IDE 또는 브라우저 확장 프로그램을 통해 침해된 것으로 추적되었으며, 이로 인해 지갑이 탈취되었습니다.

취약점 분석

이 침해는 핵심 개발자가 설치한 악성 코딩 또는 브라우저 확장 프로그램에서 비롯된 운영 수준의 인적 오류를 나타냅니다. 구체적으로, 개발자가 악성이며 신뢰할 수 없는 IDE/브라우저 확장 프로그램을 설치하여 계정 침해 및 금전적 손실이 발생했습니다.

공격 분석

관련 주소 및 브릿징 트랜잭션은 아래에 나열되어 있습니다:

공격자 주소

  • 0x54e127b8dbf3bebf64bb1d62a195a6f60113130d
  • 0x9d3a398cc667b97841a2a92ba808ee8dd368a1f2
  • bc1qykmc6mllm3s4zpldww764v6vcgtqwshyw02k9c

피해자 주소

  • (World Chain) 0xa92e09e0a52b7EdEaD75d3125e21bDFB9752C69e
  • (World Chain) 0xD768da05e0E6771Ea81b441026CE9355421eF7c9
  • (World Chain) 0xA581ED1dEB42E8496E5275468C79D250b91d6a75
  • (World Chain) 0x9BD647B2C8Fed689ADd2e7AA8b428d3eD12f75cb
  • (BSC) 0x2Edf158DDCe35733d6f7D9D7227610ca0531f0AD
  • (BSC) 0xA581ED1dEB42E8496E5275468C79D250b91d6a75
  • (Bera Chain) 0xA581ED1dEB42E8496E5275468C79D250b91d6a75
  • (Bera Chain) 0x628cEf732301aDF6d62bB2bcDFeBB291750C4D9a
  • (zkSync) 0xA581ED1dEB42E8496E5275468C79D250b91d6a75
  • (zkSync) 0x8C826F795466E39acbfF1BB4eEeB759609377ba1
  • (zkSync) 0x4Cf7baB01b8D3572b3dC08642ebbE2AD1aCF3B99
  • (zkSync) 0x2Edf158DDCe35733d6f7D9D7227610ca0531f0AD
  • (zkSync) 0x2D2D047c50d7828Aedb6A151bA1717766606Bf33

브릿징 트랜잭션

결론

이 사고의 근본 원인은 키 탈취에서 비롯됩니다. 핵심 컨트랙트의 핵심 역할(예: 소유자)과 관련된 관리자 키는 신중하게 관리해야 합니다. 단일 실패 지점을 방지하고 시스템적 견고성을 강화하기 위해 멀티시그 지갑 사용을 권장합니다.

6. Revert Finance 사고

간략한 요약

2026년 1월 30일, Base의 Revert Finance가 공격을 받아 약 $50K의 손실이 발생했습니다. 근본 원인은 GaugeManager 컨트랙트의 비즈니스 로직 결함으로, 공격자가 해당 부채를 상환하지 않고 담보를 인출할 수 있었습니다. executeV3UtilsWithOptionalCompound()를 악용하여 공격자는 의도된 부채 상환 흐름을 우회하고 자금을 탈취했습니다.

배경

Revert Finance는 자동화 시장 조성자(AMM) 유동성 공급자(LP)를 위해 설계된 종합 도구 플랫폼입니다. LP가 자본 효율성과 리스크 관리를 개선할 수 있도록 분석, 관리, 자동화 및 대출 기능을 주로 제공합니다.

이 프로토콜에서 사용자는 Uniswap v3 포지션을 담보로 예치하여 Revert Finance의 대출 풀에서 자산을 빌릴 수 있습니다. 또한 프로토콜은 사용자가 담보로 사용되는 포지션을 스테이킹하여 함수 stakePosition()을 통해 추가 보상을 받을 수 있도록 허용합니다.

취약점 분석

이 사고의 근본 원인은 담보로 사용되는 포지션의 언스테이킹 시 지급 능력 검사가 부재했기 때문입니다. 구체적으로, 함수 executeV3UtilsWithOptionalCompound()는 사용자가 해당 지시(즉, whatToDo= 1)를 표시하여 포지션을 언스테이킹할 수 있도록 합니다. 그러나 이 함수는 담보화된 포지션을 언스테이킹할 때 지급 능력 검사가 부재합니다. 결과적으로, 공격자는 미결제 부채를 상환하지 않고 담보화된 포지션을 환수할 수 있습니다.

공격 분석

다음 분석은 트랜잭션 0x10429eaeb479f9149854e4aeb978a35ac02d9688f6e22371712b3878c63a64ab을 기반으로 합니다.

  1. 공격자는 플래시 론으로 10e8 cbBTC와 10,000,000e6 USDC를 빌려 포지션(즉, NFT)을 민팅했습니다.

  2. 공격자는 NFT를 담보로 예치하고 49,000e6 USDC를 빌렸습니다.

  3. 공격자는 함수 stakePosition()을 통해 담보화된 NFT를 스테이킹했습니다.

  4. 공격자는 함수 executeV3UtilsWithOptionalCompound()를 사용하여 담보화된 NFT를 즉시 언스테이킹했습니다. 구체적으로, 담보화된 포지션이 소각되고 해당 기초 자산이 공격자에 의해 수집되었습니다. 언스테이킹 과정에서 지급 능력 검사가 부재하여, 담보화된 포지션이 해당 부채를 정산하지 않고 소각되었습니다.

  1. 공격자는 플래시 론을 상환하고 49,000e6 USDC의 이익을 얻었습니다.

결론

이 사고의 근본 원인은 담보화된 포지션의 언스테이킹 시 지급 능력 검사가 부재했기 때문입니다. 이 사고는 대출 유사 프로토콜에서 지급 능력 검사의 중요성을 강조합니다. 안정성과 신뢰성을 보장하기 위해 포지션의 모든 사용에 대해 강력한 지급 능력 조치를 구현하는 것이 필수적입니다.

참고 자료

[1] SwapNet & Aperture https://blocksec.com/blog/17m-closed-source-smart-contract-exploit-arbitrary-call-swapnet-aperture

[2] PGNLZ: https://x.com/Phalcon_xyz/status/2016154398817505595

[3] XPlayer: X Player Official https://x.com/XPlayer_Media/status/2016700861578403910

[4] XPlayer: X Blocksec Phalcon https://x.com/Phalcon_xyz/status/2016521384609067103

[5] Holdstation: https://x.com/Phalcon_xyz/status/2016823122373296583

[6] Revert Finance: https://paragraph.com/@revertfinance/post%E2%80%91mortem-aerodrome-lend-vault-incident-on-base?referrer=0x8cadb20A4811f363Dadb863A190708bEd26245F8

BlockSec 소개

BlockSec은 풀스택 블록체인 보안 및 암호화폐 컴플라이언스 제공업체입니다. 저희는 고객이 프로토콜 및 플랫폼의 전체 생애주기에 걸쳐 코드 감사(스마트 컨트랙트, 블록체인 및 지갑 포함), 실시간 공격 차단, 사고 분석, 불법 자금 추적, AML/CFT 의무 이행을 수행할 수 있도록 지원하는 제품과 서비스를 구축합니다.

BlockSec은 권위 있는 학회에 다수의 블록체인 보안 논문을 발표했으며, DeFi 애플리케이션의 여러 제로데이 공격을 보고했고, 2천만 달러 이상을 구제하기 위한 다수의 해킹을 차단했으며, 수십억 달러 규모의 암호화폐를 보호했습니다.

Sign up for the latest updates
~$410만 손실: Taiko, SecondFi 익스플로잇 | BlockSec 위클리
Security Insights

~$410만 손실: Taiko, SecondFi 익스플로잇 | BlockSec 위클리

이 주간 블록체인 보안 리포트는 2026년 6월 22~28일 발생한 주요 사건 2건을 다루며, 이더리움과 카르다노에서 약 410만 달러의 피해가 확인됐습니다. Taiko 브릿지 공격은 노출된 SGX 서명 키와 디버그 엔클레이브를 거부하지 못한 증명 정책 결함을 이용해 악성 증명자를 등록하고 L2 상태 증명을 위조했습니다. SecondFi 지갑은 Ed25519 논스 도출 시 비밀 입력이 제거되는 결함으로 공개 트랜잭션 데이터만으로 개인 키 복구가 가능했습니다.

~$18M 손실: jaredFromSubway, Aztec 등 | BlockSec 위클리
Security Insights

~$18M 손실: jaredFromSubway, Aztec 등 | BlockSec 위클리

이 주간 블록체인 보안 보고서는 2026년 6월 15일~21일을 다루며, 이더리움과 BNB 체인에서 3건의 주요 사고가 발생해 약 $18.3M의 손실이 발생했습니다. jaredFromSubway 사건은 MEV 봇이 차익거래를 위해 신뢰할 수 없는 제3자 컨트랙트에 자산을 승인한 역방향 승인 공격으로, 가짜 래퍼 토큰과 스왑 풀을 이용해 약 $15M 손실이 발생했습니다. Aztec은 이스케이프 해치 ZK 회로의 제약 누락으로 공격자가 가짜 머클 트리로 온체인 검증을 통과했습니다.

Web3 컴패니언: 오픈소스 보안 에이전틱 지갑

Web3 컴패니언: 오픈소스 보안 에이전틱 지갑

BlockSec가 Web3 Companion을 오픈소스로 공개했습니다. 이 보안 중심의 에이전트 지갑은 자체 AI 에이전트를 신뢰하지 않는 방식으로 설계되었으며, 키 격리, 강력한 정책, Passkey를 활용해 온체인 자산을 보호합니다.

Best Security Auditor for Web3

Validate design, code, and business logic before launch. Aligned with the highest industry security standards.

BlockSec Audit