1. 소개
시장의 점진적인 개선과 함께 10월에 각종 공격이 갑자기 증가했고 관련 금액이 상당히 커서 입이 떡 벌어질 정도였습니다. Chuangyu Blockchain Security Lab[Hacked Incident Archives]의 데이터에 따르면 이번 달에 53건 이상의 보안 사고가 발생했으며 총 손실액은 미화 8억 5천만 달러가 넘습니다. 그 중 DeFi 보안 사고가 급격히 증가하고 있는데, 가장 대표적인 것이 BNB Chain 크로스체인 브릿지 Token Hub(토큰센터) 시스템 컨트랙트가 해킹되어 손실액이 5억 6천만 달러에 달했습니다.
2. 데이터 분석
1. 비율 분석:
이번 달 각종 보안 사고 건수와 비율 분석을 통해 전체 공격의 절반 가까이가 DeFi 공격에서 발생했으며 피싱은 여전히 발생 빈도가 높은 공격 유형임을 알 수 있다.
2. 비교 데이터 분석:
비교를 통해 DeFi 보안 및 실행 사기 사건이 이번 달에 두 배로 증가한 반면 다른 보안 사건도 소폭 증가하거나 변동이 없는 것으로 나타났습니다.
3. 2022년 월별 보안 동향:
이번 달에는 전체 보안 사고 건수가 두 배 이상 증가한 지난달 보안 사고 건수에 비해 크게 증가했으며, 시장이 점차 회복되고 있으며 큰 보안 위협도 가져오고 있음을 알 수 있습니다.
3. DeFi 보안 유형 이벤트
지난 10월 2일, 크로스체인 DEX 애그리게이터인 Transit Swap이 공격을 받았고, 현재 피해 금액은 2,800만 달러를 넘어선 것으로 추정됩니다. 이 공격은 주로 Transit Swap&Cross Approve Proxy 계약을 승인한 주소를 대상으로 합니다.
10월 7일, BNB Chain 크로스 체인 브릿지 Token Hub(토큰 센터) 시스템 컨트랙트가 해커의 공격을 받아 200만 BNB가 두 번, 약 5억 6천만 달러에 달하는 금액이 인출되었습니다.
10월 9일 XaveFinance 프로젝트가 해킹되어 RNBW 발행량이 1,000배 증가했습니다.
10월 11일 QAN플랫폼 브릿지의 스마트 컨트랙트가 공격을 받아 공격자는 이더리움에서 약 $960,000, BNB Chain에서 약 $1,140,000의 수익을 냈습니다.
10월 11일, DeFi 프로토콜 TempleDAO는 공격을 받은 것으로 의심되어 약 234만 달러를 잃었습니다.
10월 11일, 약 $200,000에 달하는 Rabby 프로젝트가 해킹당했습니다.
10월 12일, 솔라나 기반의 탈중앙화 금융 플랫폼인 망고(Mango)는 잠재적인 1억 달러 규모의 공격을 받았습니다.
10월 12일 ATK 프로젝트는 플래시론 공격을 받았고 공격자는 미화 12만 달러의 이익을 챙겼습니다.
10월 14일 MEV 로봇(0x00000.....be0d72)이 악용되어 약 187.75 WETH의 손실이 발생했습니다.
10월 17일, MTDAO 프로젝트 당사자의 비오픈 소스 계약이 플래시 론 공격을 받아 미화 50만 달러에 가까운 손실을 입었습니다.
지난 10월 18일 BitKeep Swap은 해커의 공격을 받았고, 개발팀은 응급조치를 취하여 해커의 공격을 차단하였으며, 공격은 BNB Chain에 집중되어 약 100만 달러의 손실을 입었습니다.
10월 18일 PLTD 프로젝트는 해커의 공격을 받아 거래 풀의 모든 BUSD가 매진되었고 공격자는 총 24,497 BUSD의 이익을 얻었습니다.
10월 19일 Celo의 Moola 프로토콜이 공격을 받아 해커들은 약 900만 달러의 이익을 챙겼습니다.
10월 20일 토큰 GEO 계약이 공격을 받았습니다. BNB 체인에서 GEO를 구매하지 마십시오.
10월 20일 스마트 컨트랙트 취약점으로 인해 "Ethereum Alarm Clock"(이더리움 알람 시계)이라는 서비스가 악용되어 해커들은 약 $259,800 상당의 204 ETH를 획득했습니다.
10월 20일, Twitter 사용자는 BitBTC와 Optimism 사이의 교차 체인 브리지에 "가짜 채굴" 취약점이 있다고 밝혔으며 현재는 수정되었습니다.
10월 21일 OlympusDAO는 코드 허점으로 인해 약 $292,000의 손실을 입었습니다.
10월 23일 Optimism 생태 투자 프로젝트인 Layer2DAO가 해커의 공격을 받아 Layer2DAO의 다중 서명 권한을 획득하여 약 4,995만 개의 L2DAO 토큰을 훔쳐 일부를 판매했습니다. 손실은 약 USD 320,000였습니다.
10월 24일, QuickSwap은 플래시 론 공격으로 인해 $220,000를 잃었고 일시적으로 대출 시장을 폐쇄할 것입니다.
10월 25일 ULME 토큰 프로젝트가 해킹되어 50,646 BUSD를 잃었습니다.
10월 25일 Melody SGS 프로젝트의 자산 예금 업그레이드 계약이 해킹된 것으로 의심되어 총 2,225 BNB의 손실이 발생했습니다. 손실액은 약 640,000달러였습니다.
10월 27일 멀티체인 지갑 UvToken이 공격을 받아 UVT 토큰 가격이 99% 폭락했고 공격자는 약 5,011 BNB(미화 약 150만 달러 상당)를 Tornado Cash로 송금했습니다.
10월 27일 Team Finance 팀은 Uniswap v2에서 v3로 마이그레이션하는 동안 프로토콜에서 관리하는 자금이 해킹되었으며 확인된 손실은 1,450만 달러라고 밝혔습니다.
10월 27일 TrustSwap 프로젝트가 해킹되어 최소 779만 달러(ETH 880.2554, DAI 6,429,327.65)에 영향을 미쳤습니다.
10월 27일 Victor the Fortune 프로젝트는 플래시론 공격을 받아 약 58,000달러의 수익을 냈습니다.
10월 28일, FriesDAO는 욕설 취약점으로 인해 공격을 받아 약 230만 달러의 손실을 입었습니다.
4. 사기 보안 유형 이벤트
10월 2일 BTU(BTU) 프로젝트는 88% 이상의 하락을 경험했으며 해당 프로젝트가 Rug Pull 프로젝트임을 확인했습니다.
10월 6일 Easier(EAI)는 66% 이상의 하락폭을 기록하며 Rug Pull 프로젝트로 확정되었습니다.
10월 7일 위조품 프로젝트 지엠엑스(GMX)는 88% 이상의 하락폭을 기록하며 해당 프로젝트가 러그풀 프로젝트임을 확인했다.
10월 9일 Jumpnfinance 프로젝트에서 Rugpull이 발생하여 현재 도난당한 자금 중 2,100 BNB($581,700)가 Tornado.Cash로 이체되었으며 나머지 2,058 BNB($571,128)는 여전히 공격자의 주소에 저장되어 있습니다.
10월 16일 SHOK 프로젝트의 가격이 83% 이상 하락하여 Rug Pull로 확인되었으며 사기로 약 71,400달러의 수익을 냈습니다.
10월 20일 Mango INU 프로젝트는 Rug Pull로 확인되어 통화 가격이 80% 이상 하락하여 약 48,500달러의 수익을 냈습니다.
10월 20일 DD 프로젝트의 가격이 87% 이상 하락하여 Rug Pull로 확인되었으며 사기로 약 109,000달러의 수익을 냈습니다.
10월 24일, Freeway 프로젝트 당사자는 공식 목록을 삭제하고 미화 1억 달러가 넘는 Rug Pull을 시행했습니다.
10월 24일 Mango 공격자는 Rug Pull 프로젝트 Mango Inu를 배포하여 100,000달러를 벌었습니다.
10월 28일 공식 앱토스를 사칭한 에어드롭 사기로 114.8 ETH를 획득했습니다. 피싱 사이트 airdrop.aptlabs.fi를 클릭하지 마세요.
5. 피싱 보안 유형 이벤트
지난 10월 9일, 영국 유명 걸그룹 스파이스 걸스의 멤버 멜비는 자신의 왓츠앱이 암호화된 해커의 공격을 받았다고 현지 경찰에 신고했고, 그녀의 가족과 연예인 친구들에게 가짜 암호화폐 기부 요청이 쇄도했다.
10월 8일, Flaskies 프로젝트 Discord 서버가 공격을 받았습니다. 커뮤니티 사용자는 거래를 클릭하거나 생성하거나 승인하지 마십시오.
10월 9일, $700,000(약 540 ETH) 이상의 BAYC 7개, 즉 BAYC 4317, 755, 6567, 8761, 2951, 9611, 8274가 도난당했습니다. 피해자는 악의적인 계약을 승인하도록 속아 지갑에서 BAYC를 훔쳤습니다.
10월 15일, Whisbe Vandalz 프로젝트 Discord 서버가 공격을 받았습니다. 커뮤니티 사용자는 거래를 클릭하거나 생성하거나 승인하지 마십시오.
10월 16일, Project Kaito 프로젝트의 Discord 서버가 공격을 받았습니다. 커뮤니티 사용자는 거래를 클릭하거나 생성하거나 승인하지 마십시오.
10월 18일 XANA Project Discord 서버가 공격을 받았습니다. 커뮤니티 사용자는 거래를 클릭하거나 생성하거나 승인하지 마십시오.
지난 10월 22일 Gate의 공식 Twitter 계정이 해킹된 것으로 의심되어 피싱 메시지가 발송되었으므로 사용자는 자산 보안에 주의를 기울여야 합니다.
10월 22일, Vivity Project Discord 서버가 공격을 받았습니다. 커뮤니티 사용자는 거래를 클릭하거나 생성하거나 승인하지 마십시오.
10월 22일 Project Shojira 프로젝트의 Discord 서버가 공격을 받았습니다. 커뮤니티 사용자는 거래를 클릭하거나 생성하거나 승인하지 마십시오.
10월 25일 FTX 및 3Commas API 키 관련 피싱 사건에 연루된 공격자는 Binance US 및 Bittrex 거래소도 공격하여 각각 1,053 ETH 및 301 ETH를 훔쳤습니다.
10월 26일, NFT 프로젝트 primordials의 Discord 서버가 공격을 받았습니다. 커뮤니티 사용자는 거래를 클릭하거나 생성하거나 승인하지 마십시오.
10월 28일 NFT 프로젝트 Oxya Origin의 Discord 서버가 공격을 받았습니다. 커뮤니티 사용자는 거래를 클릭하거나 생성하거나 승인하지 마십시오.
6. 기타 보안 이벤트 유형
10월 11일 paraswap 배포자의 개인 키가 유출된 것으로 의심되어 여러 체인에서 자금이 도난당했습니다.
10월 11일, TokenPocket 공식 웹사이트가 비정상적인 트래픽 공격을 받아 기술팀에서 긴급 점검을 진행하고 있습니다.
10월 17일, 일본 거래소는 북한 정부가 직접 통제하는 것으로 추정되는 Lazarus Group의 사이버 공격을 받았습니다.
10월 25일, Web3 엔터테인먼트 및 소셜 애플리케이션인 Melody의 토큰 주소가 해커들에게 도용되었고 팀은 일시적으로 출금 기능을 중단했습니다.
10월 26일 Spookie Finance의 프런트 엔드가 공격을 받은 것으로 의심되어 GHOST의 가격이 거의 0으로 떨어졌습니다.
7. 요약
DeFi의 관점에서 관련 보안 사고 중 가장 일반적인 플래시 론 공격 외에도 크로스 체인 브리지 공격도 점점 더 빈번해지고 있습니다. 여기에서 다시 한 번 계약 감사의 중요성을 모두에게 상기시키고 싶습니다. 적지 않은 공격 이벤트에서 논리 문제는 기본적으로 가장 심각한 영향을 미치므로 개발자는 개발할 때 계약 기능 논리를 엄격하게 개발해야 합니다. 동시에 다른 공격으로부터 계약을 보호하기 위해 계약 보안에 대한 정기적인 감사 및 복합 감사를 수행하고 플래시 대출 및 교차 체인 브리지 계약에 큰 중요성을 부여해야 합니다.
피싱 및 사기 도주라는 관점에서 보면 지난달에 비해 도주 사기가 크게 증가하여 투자자들에게 프로젝트 및 프로젝트 당사자의 모든 측면에 대한 종합적인 조사를 수행하고 모든 프로젝트에 대해 신중을 기하여 부도덕한 행위를 방지해야 함을 경고합니다. 프로젝트 Fang은 돈을 사취하고 도망쳤습니다.피싱은 기본적으로 지난달과 같았고 증가는 크지 않았지만 사건 수는 전혀 감소하지 않았습니다.공격자는 여전히 피싱이 사용자를 속이는 것이 더 쉽다고 생각하는 것을 볼 수 있습니다. 일반 투자 독자들은 이 점에서 실제로 가볍게 여기기 쉽습니다.Chuangyu Blockchain Security Lab은 모든 사람이 알 수 없는 거래를 클릭, 생성 또는 승인하지 않도록 상기시키고 상호 작용 과정에서 지갑 또는 브라우저 프롬프트에 주의를 기울이도록 상기시킵니다. 권한 부여 작업 승인에 특히 주의하십시오.
