[보안 월간 보고서] | 10월 블록체인 보안 사고가 증가해 해커 공격으로 인한 손실이 1억 4700만 달러에 이르렀습니다.

제로아워테크놀로지의 월간 보안 이벤트 하이라이트가 시작되었습니다! 일부 블록체인 보안 위험 모니터링 플랫폼의 통계에 따르면 2024년 10월 각종 보안 사고로 인한 손실액이 9월에 비해 증가했다. 10월에는 일반적인 보안 사고가 28건 이상 발생했으며, 해커 공격, 피싱 사기, Rug Pull로 인한 총 손실액은 1억 4,700만 달러에 이르렀으며, 이는 9월보다 약 22.5% 증가한 수치이며, 1,930만 달러가 환불되었습니다. 또한, Web3 사기 방지 플랫폼인 스캠 스니퍼(Scam Sniffer)의 통계에 따르면 이번 달 피싱 사건의 피해자는 12,058명 , 손실액은 1,804만 달러에 달했습니다.

해커 공격

5가지 일반적인 보안 사고

(1) 10월 5일 EigenLayer가 다음 사이트에 게시했습니다. 그 결과, 1,673,645개의 EIGEN 토큰이 실수로 공격자의 주소로 전송되었습니다. 공격자들은 훔친 EIGEN 토큰을 분산형 거래소 플랫폼을 통해 판매하고 스테이블코인을 중앙형 거래소로 옮겼습니다. 우리는 이러한 플랫폼 및 법 집행 기관과 접촉하고 있습니다. 일부 자금이 동결되었습니다.

(2) 10월 17일, 대출 프로토콜 Radiant Capital은 BNB 체인 및 Arbitrum 네트워크의 대출 시장이 해킹당했으며 Base 네트워크 및 이더리움 메인넷의 시장도 정지되었다고 트윗했습니다. 제로아워테크놀로지 보안팀은 이번 공격의 근본 원인은 핵심 개발자 3명의 하드웨어 지갑이 해킹됐기 때문이라고 분석했다. 하드웨어 지갑 프런트 엔드에는 정상적이고 호환되는 서명이 표시됐으나, 실제 동작은 서명이 다음과 같이 구성됐다는 점이다. 해커 자신을 공격합니다. 세 명의 핵심 개발자가 서명하면 공격이 완료되었습니다. 이번 공격으로 인해 총 5,800만 달러의 손실이 발생했습니다.

 https://mp.weixin.qq.com/s/7v2i8piOMBO2gs6f6lY53g

(3) 10월 18일, Tapioca DAO에 심각한 보안 침해가 발생했습니다. 공격자는 소셜 엔지니어링 공격을 통해 해당 개인 키를 획득하고 약 470만 달러의 암호화폐를 훔쳤습니다. 10월 25일, Tapioca DAO는 공격자가 스마트 계약 개발을 담당하는 핵심 기여자의 개인 키를 성공적으로 침입하여 보안 침해가 발생했다는 사고 분석 보고서를 발표했습니다. SEAL911은 공격자가 전염성 인터뷰 공격 방법을 사용하여 기여자의 컴퓨터에 악성 코드를 주입하여 주소의 개인 키를 탈취한 북한 해커 그룹으로 식별했습니다.

(4) 10월 25일 비트파이넥스 해커들이 탈취한 자금을 미국 정부가 관리하는 주소에서 2,071만 달러 상당의 USDC/USDT/aUSDC/ETH가 도난당했습니다. 도난당한 자금은 0x348...40A9f 주소로 이체되었으며 일부 스테이블 코인은 680만 달러 상당의 2,709 ETH로 교환되었습니다. 변환된 ETH는 바이낸스와 두 개의 새로운 주소에 배포되었으며, 해커의 지갑에는 여전히 1,320만 달러 상당의 AUSDC가 보관되어 있습니다. 이후 약 1,930만 달러의 토큰이 미국 정부 주소로 반환되었습니다.

(5) 10월 31일 SUNRAY FINANCE 개인 키가 유출되었습니다. 공격자는 SUN 및 ARC 토큰의 소유권을 획득하고 대량의 토큰을 발행한 후 이를 버려 거래 쌍을 소진시켰습니다. 지금까지 공격자들은 285만5천 달러를 훔쳤습니다. 이전에 SUNRAY FINANCE는 "SUN 및 ARC 토큰 재무 자산 양도와 관련하여 현재 복원을 위해 열심히 노력하고 있습니다. 걱정하지 마십시오. 모든 사용자 자산은 체인에서 사용할 수 있습니다."라고 발표했습니다.

러그 풀/피싱 사기

11 가지 일반적인 보안 사고

(1) 10월 6일, 0x213b로 시작하는 주소가 피싱 공격을 받았습니다. 이 사람은 피싱 거래 '승인'에 서명하여 MEXC에서 돈을 인출했고, 단 20분 만에 US$100,000를 잃었습니다.

(2) 10월 7일 0x5bfb로 시작하는 주소가 피싱 공격을 받아 스테이크LRT 192,000달러 손실을 입었습니다.

(3) 10월 9일 0x63e4로 시작하는 주소가 피싱을 당해 VOW 133,000달러 손실이 발생했습니다.

(4) 10월 11일, 0xeab2는 "라이센스" 피싱 서명에 서명한 후 15,079 fwDETH(3,500만 달러)를 잃었습니다.

(5) 10월 14일 0xb0b8로 시작하는 주소는 "permit2" 피싱 서명에 서명한 후 미화 139만 달러 상당의 PEPE, MSTR 및 APU를 손실했습니다.

(6) 10월 15일, MSTR에서 20배의 수익을 올린 보유자는 "이체" 피싱 거래에 서명한 후 $347,868의 손실을 입었습니다.

(7) 10월 18일 0x84b7로 시작하는 주소가 피싱 공격을 받아 미화 80만 달러의 mETH 손실이 발생했습니다.

(8) 10월 21일 0x2Ff7로 시작하는 주소에서 피싱 사기를 당해 BEAM 148,000달러의 손실이 발생했습니다.

(9) 10월 25일, 0x05f5로 시작하는 주소는 "보조금 인상" 피싱 거래에 서명한 후 $126,000 상당의 HyPC를 잃었습니다.

(10) 10월 26일, 피해자는 SOL과 Bonk에서 피싱 서명에 서명한 후 약 $40,000의 손실을 입었습니다.

(11) 10월 31일 0x3d00으로 시작하는 주소가 피싱을 당해 10BTC($723,436)의 손실이 발생했습니다.

요약

위에서 언급한 여러 사건을 분석해 보면, 10월에 발생한 해커 공격은 공통 계약 취약점 악용, 계정 도용 외에도 공급망 공격, 가격 조작 및 기타 수단이 다양했습니다. 게다가 이번 달에는 두 건의 폭주 사고가 발생해 수천만 달러에 달하는 손실을 입었습니다.

이번 달 피싱사고로 인한 피해는 지난달에 비해 줄었지만 피해자는 늘었다.

제로아워 기술 보안팀은 프로젝트 당사자가 항상 경계할 것을 권장하고 사용자에게 피싱 공격에 주의하도록 상기시킵니다. 사용자는 프로젝트에 참여하기 전에 프로젝트의 배경과 팀을 충분히 이해하고 투자 프로젝트를 신중하게 선택하는 것이 좋습니다. 또한, 프로젝트가 온라인화되기 전에 전문 보안업체를 찾아 감사를 실시하고 프로젝트 배경 조사를 실시해야 합니다.