브리지 해킹: Ronin, Wormhole 및 Nomad의 교훈
블록체인 브릿지는 수십억 달러의 정적 토큰 에스크로를 보유하고 있어 주요 사이버 범죄 표적이 됩니다. 우리는 역사적인 악용 뒤에 숨은 검증인 키 도난과 스마트 계약 버그를 분석합니다.
수십억 달러 규모의 허니팟: 교량이 표적이 되는 이유
- 있음 분산 금융, 자본은 자연스럽게 효율성을 지향합니다. 대안으로 레이어 1 체인 및 레이어 2 롤업 이를 곱하면 블록체인 브릿지는 격리된 네트워크를 통해 수십억 달러의 유동성을 라우팅하는 필수 인프라가 되었습니다. 그러나 원활한 사용자 경험을 촉진하기 위해 전통적인 "잠금 및 발행" 브리지는 잠겨 있는 대규모의 정적 네이티브 토큰 풀을 유지해야 합니다. 스마트 계약 에스크로 소스 체인에 있습니다.
- 이러한 자본의 건축적 집중은 궁극적인 Web3 허니팟. 고급 사이버 범죄 그룹의 경우 개별 DeFi 사용자 또는 단일 분산 애플리케이션을 표적으로 삼아 명목상의 수익을 얻을 수 있습니다. 대조적으로, 크로스체인 브릿지 는 전체 네트워크의 기본 담보 풀에 대한 문을 엽니다. 크로스체인 보안의 역사는 세 가지 획기적인 공격으로 정의됩니다(로닌, 웜홀및 유목민) 각각은 고유하고 치명적인 취약점을 노출합니다. 소셜 엔지니어링, 스마트 계약 논리및 초기화 업그레이드.
날짜: 2022년 3월
피해: ~6억 2400만 달러
벡터: 사회 공학 및 유효성 검사기 키 유출
익스플로잇의 메커니즘
- Axie Infinity 게임 생태계를 위해 특별히 구축된 Ethereum 사이드체인인 Ronin Network는 겉보기에는 안전해 보이는 9노드 암호화 다중 서명 매트릭스를 사용했습니다. 이더리움 에스크로 브리지에서 자산 인출을 승인하려면 거래에 단순 다수의 유효한 암호화 서명이 필요합니다. 검증자 9명 중 5명.
- Lazarus Group은 인간 인프라를 표적으로 삼아 블록체인의 암호화 방어를 우회했습니다. 공격자는 LinkedIn에서 정교한 스피어 피싱 캠페인을 사용하여 채용 담당자로 가장하여 Sky Mavis의 수석 엔지니어를 속여 인터뷰 과정에서 악성 "구인 제안" PDF 파일을 다운로드하도록 했습니다. 스파이웨어는 회사 네트워크에 침투하여 해커가 Sky Mavis가 직접 제어하는 검증인 4명의 개인 키를 유출할 수 있도록 했습니다.
- 합의 정족수에 필요한 마지막 5번째 키를 확보하기 위해 해커는 레거시 추적 허용을 활용했습니다. Sky Mavis는 이전에 독립적인 Axie DAO 검증자 노드를 대신하여 거래에 서명할 수 있는 권한을 부여 받았습니다. 해당 조치는 중단되었지만 서버 화이트리스트에서 액세스 권한이 취소된 적은 없습니다. 공격자는 백도어에 접속해 5번째 서명을 수집하고 브릿지 계약을 완전히 빼냈다.
핵심 강의
다중 서명 프레임워크는 물리적 인프라 공간만큼 분산되어 있습니다. 단일 기업이 단일 서버 설정에서 대부분의 검증 키를 보유하거나 영향을 미치는 경우 시스템은 취약한 중앙 집중식 데이터베이스와 똑같이 작동합니다. 다중 서명 프로토콜에는 엄격한 지리적 분리, 다중 공급업체 하드웨어 구성 및 기록 액세스 권한에 대한 자동 해지 매개변수가 필요합니다.
2. 웜홀 해킹: 입력 계정 주입 우회
날짜: 2022년 2월
피해: ~$3억 2600만
벡터: 스마트 계약 논리 및 계정 스푸핑
익스플로잇의 메커니즘
- Wormhole 프로토콜은 소스 체인 전송을 증명하기 위해 19개의 Guardian 노드를 사용하여 자산을 연결합니다. 네트워크의 솔라나 측에서 브릿지 로직은 내장된 시스템 프로그램인
sysvar레지스트리는 Guardian 서명이 상태 기록과 정확하게 일치하는지 확인합니다.
- 해커는 솔라나 계정 검증 매개변수의 결함을 식별하여 이 검증 게이트의 매핑을 해제했습니다. 공격자는 공식 데이터 구조를 완벽하게 모방한 맞춤형 악성 스마트 계약 계정을 만들었습니다.
sysvar프로그램. 지시 통화 중에 해커는 이 사기 계정 주소를 브릿지의 주소에 주입했습니다.verify_signatures기능.
- 웜홀 계약 코드에 수신되는 내용을 확인하는 명시적인 조회 명령이 포함되지 않았기 때문입니다.
sysvar주소는 실제 시스템 기본 주소였으며 계약은 스푸핑된 데이터를 사실로 받아들였습니다. 가짜 프로그램은 19명의 Guardians가 실제로 발생하지 않은 대규모 입금을 성공적으로 승인했다고 보고했으며, 이로 인해 브릿지는 즉시 솔라나의 허공에서 120,000개의 포장된 이더리움(wETH)을 발행했고 해커는 이를 빠르게 추출했습니다.
핵심 수업
높은 처리량, 계정 기반 실행 레이어에서 실행되는 스마트 계약은 확인되지 않은 입력을 신뢰할 수 없습니다. 함수에 전달된 모든 외부 계약 계정, 오라클 주소 및 시스템 변수는 불변 코드 화이트리스트에 대해 엄격하게 검증되어야 합니다. 입력 확인 실패는 Web3 역사상 가장 자본 파괴적인 버그 중 일부를 나타냅니다.
3. Nomad Bridge: "분산형 약탈" 초기화 결함
날짜: 2022년 8월
피해: ~1억 9천만 달러
벡터: 스마트 계약 구성 업그레이드
익스플로잇의 메커니즘
- Nomad는 타임 게이트 기간 동안 관찰자가 이의를 제기하지 않는 한 유효성 가정 하에 거래가 처리되는 낙관적인 크로스 체인 브리지로 운영되었습니다. 플랫폼은 복제된 스마트 계약을 활용하여 입증된 모든 메시지의 역사적 뿌리를 추적하고 저장했습니다.
- 이 취약점은 일상적인 프로토콜 코드 업그레이드 중에 발생했습니다. 개발팀이 업데이트된 복제본 계약을 초기화할 때 실수로 신뢰할 수 있는 기본 루트 값 구성 매개변수를 다음으로 설정했습니다.
0x00(빈 0 주소 해시).
- 이 단순한 실수로 인해 다리의 보안 게이트가 열린 금고로 바뀌었습니다. 계약 스크립트를 읽었기 때문에
0x00자동으로 신뢰되고 검증된 상태이므로 아직 입증되지 않은 모든 거래 메시지(완전히 가짜 인출 요청 포함)가 즉시 유효한 것으로 처리되었습니다.
- 초기 해커가 결함을 발견한 후 익스플로잇이 대중에게 유출되었습니다. 공격에는 정교한 프로그래밍 도구가 필요하지 않았기 때문에 수백 명의 모방 봇과 소매 웹 사용자가 기본 블록 탐색기를 사용하여 원본 해커의 거래 데이터를 복사하고 수신자 지갑 주소를 자신의 지갑 주소로 교체한 다음 몇 시간 내에 혼란스럽고 분산된 브리지 풀 약탈에 참여했습니다.
핵심 수업
스마트 계약 업그레이드는 이전에 안전했던 가정을 즉시 무효화할 수 있는 변동성이 매우 높은 이벤트입니다. 기본 구성 매개변수를 주소가 0인 상태로 설정하면 실수로 유효성 검사 논리가 완전히 제거될 수 있습니다. 모든 메인넷 계약 초기화에는 업데이트로 인해 중요한 액세스 제어 가드레일이 실수로 비활성화되지 않는지 확인하기 위해 자동화된 회귀 테스트 프레임워크와 엄격한 다단계 단계 검토가 필요합니다.
과거 크로스체인 익스플로잇 매트릭스
| 프로토콜 | 공격 대상 벡터 | 핵심 운영 실패 |
| 로닌 | 소셜 피싱 | 중앙 집중식 키 관리 |
| 웜홀 | 계정 주입 | 입력 확인 누락 |
| 유목민 | 업그레이드 초기화 | 루트 제로 기본 설정 |
DEXTools를 통한 범용 시장 원격 측정 소싱
- 크로스체인 아키텍처가 방어 계층을 재구축하고 인텐트 기반 프레임워크 또는 영지식 확장 시스템으로 마이그레이션함에 따라 실시간 자산 흐름 추적, 토큰 자본화 및 래핑된 토큰의 풀 깊이는 여전히 필수적인 위험 관리 관행으로 남아 있습니다. 다음과 같은 고급 분산형 차트 아키텍처를 통한 소싱 분석 DEXTools 는 시장 참여자들에게 실시간 토큰 행동을 모니터링하고, 풀 깊이를 평가하고, 모든 공개 실행 네트워크에서 계약 매개변수를 검사할 수 있는 필수 범용 플랫폼을 제공합니다.
- 다음과 같은 핵심 기능을 활용하여 페어 탐색기, 라이브 새 쌍 대시보드 및 통합 무역 이야기 또는 최고 거래자 진단 도구, 기술 거래자는 현지화된 거래량 추세를 원활하게 감사하고 대규모 고래 지갑 자본 재분배를 추적할 수 있습니다. 빅스왑 탐색기온체인 상호작용을 시작하기 전에 자동화된 계약 안전 점수를 확인하여 강화된 하드웨어 설정이 검증된 시장 장소와 안전하게 상호작용하는지 확인하세요.
DEXTools에 액세스할 수 있습니다. 여기 오늘부터 거래를 시작해 보세요!
면책조항: 이 기사는 정보 제공 목적으로만 작성되었으며 투자 조언, 금융 조언, 거래 조언 또는 기타 종류의 조언을 구성하지 않습니다. DEXTools는 암호화폐나 토큰을 구매, 판매 또는 보유하는 것을 권장하지 않습니다. 사용자는 투자 결정을 내리기 전에 스스로 조사를 수행하고 자격을 갖춘 금융 자문가와 상담해야 합니다. 암호화폐 투자는 변동성이 크고 위험도가 높습니다. DEXTools는 발생한 손실에 대해 책임을 지지 않습니다.