작성자: OKLink

1. 기본정보

2023년 9월 REKT 및 RugPull 사고로 인해 누적 손실액은 약 1억 1,434만 달러로 전월 손실액 4,182만 달러에 비해 크게 증가했으며, 신고 건수도 크게 감소했습니다. 지난달 문제에 이어, 오랜 전통을 자랑하는 선도 프로젝트인 밸런서(Balancer)도 이번 달 프런트 엔드 페이지에서 보안 문제를 겪었고, BGP나 DNS 하이재킹 공격을 받았습니다. 하지만 프로젝트팀에서는 취약점 피드백을 받은 후 긴급하게 처리해 주었기 때문에 손실이 크게 줄었습니다. 이번 달 가장 큰 손실은 암호화폐 거래소 코인엑스(CoinEx)로 최대 7천만 달러의 손실을 입혔다. 이번 달 RugPull 사고 건수는 지난 달에 비해 감소했습니다. 이번 달 RugPull 사건은 주로 ETH와 BSC 체인에서 발생하여 사용자에게 232만 달러의 손실을 입혔습니다. 마지막으로 소셜 미디어 피싱 사건이 여전히 연이어 발생하고 있으며, 프로젝트 소유자의 Discord 및 Twitter 권한이 통제되고 피싱 링크 게시 사건이 ​​여전히 발생하고 있습니다.

1.1 REKT 재고

No.1

9월 4일, ETH 체인의 세계 최대 암호화폐 카지노인 Stake.com이 해커 공격을 받아 4,130만 달러의 손실을 입었습니다. 플랫폼은 모든 입출금을 중단하여 많은 사용자가 자금을 인출할 수 없게 되었습니다. 공식 발표에서는 Stake의 ETH/BSC 핫 지갑이 무단 거래를 수행했다고 밝혔습니다.

공격 트랜잭션:

https://www.oklink.com/cn/eth/tx/0x53a2955e4d332c9fde95e20576851971132fe6b41df3474dcff5820b683d11b2

https://www.oklink.com/cn/eth/tx/0xfc62e5c5370bea0608ca1861dded21829298b5b84a37ba92f8de65db5d1da244

https://www.oklink.com/cn/eth/tx/0xdd0e92f674778aca4eb36db9c247b6316eacb2277e15ba3c41dd3a2f51f41ef9

https://www.oklink.com/cn/eth/tx/0x8f442f4411eb566d3bb64e7816cc73e8b8f4016dd793bab9981a483864ddacd1

https://www.oklink.com/cn/eth/tx/0x22d556dcd9e49552041b27b79b871b7c0c8de9ed9cac0260738666145ff82188

https://www.oklink.com/cn/eth/tx/0x557306497d98878e4f460e8350531a851443150728a06afd8a719a5bfe4560b6

https://www.oklink.com/cn/eth/tx/0xdec634997b4219d3498dc40c41fe41e53d62fa2f323e308b6d1bde1efd244f5f

https://www.oklink.com/cn/eth/tx/0x7462907580bfb3244a167bd02aefa87bcec0f5ae4c2514006f6d61c59d64a757

https://www.oklink.com/cn/eth/tx/0x61a46b1828477c9860742f2a4ff47369f59d79a768277dc8852d330d66e88a6d

공격자 주소:

공격자 주소:

https://www.oklink.com/cn/eth/address/0x3130662aece32f05753d00a7b95c0444150bcd3c

2호

9월 5일 NFT-Fi 유동성 레이어 FloorDAO가 해커 공격을 받아 약 US$65,000 상당의 약 40WETH를 잃었습니다. 공격은 "배포" 및 "리베이스" 기능의 설계 결함으로 인해 발생했습니다.

공격 트랜잭션:

https://www.oklink.com/cn/eth/tx/0x1274b32d4dfacd2703ad032e8bd669a83f012dde9d27ed92e4e7da0387adafe4

3호

9월 10일, BFCToken은 플래시 대출 공격을 받아 약 38,000달러의 손실을 입었습니다. 이 사건의 원인은 공격자가 "_transfer" 함수를 사용하여 풀에서 BFCToken을 파괴할 수 있기 때문입니다.

공격받은 계약서: https://www.oklink.com/cn/bsc/address/0x595eac4a0ce9b7175a99094680fbe55a774b5464

4호

9월 11일 OxODexPool 프로젝트 계약이 플래시 대출 공격을 받았고, 공격자는 약 US$61,000의 수익을 올렸습니다. 공격자는 악의적인 계약을 생성하고 단일 거래에서 플래시 대출 공격을 수행하여 39.45 ETH를 획득했습니다.

공격 트랜잭션: https://www.oklink.com/cn/eth/tx/0x00b375f8e90fc54c1345b33c686977ebec26877e2c8cac165429927a6c9bdbec

공격받은 계약: https://www.oklink.com/cn/eth/address/0x6128d5f7c64dab48a1c66f9d62eaefa1d5aa03ed

공격 계약: https://www.oklink.com/cn/eth/address/0xC44ea7650B27f83A6B310A8Fed9E9Daf2864a65B

5호

바나나건 프로젝트는 지난 9월 12일 해커의 공격을 받았다는 성명을 발표했지만 피해액은 공개되지 않았다. 이번 공격의 원인은 바나나 토큰 전송 시 내부 전송() 수수료가 전송자로부터 차감되지 않아 계좌 잔액 계산에 오류가 발생했기 때문이다.

관련된 링크들:

https://twitter.com/BananaGunBot/status/1701322684313817459 https://twitter.com/MetaTrustAlert/status/1701436883392422208 https://twitter.com/Phalcon_xyz/status/1701518882631295269

6호

9월 12일, 0x0Audits 프로젝트가 해킹당한 것으로 의심되어 약 US$61K 상당의 39.9 ETH가 손실되었습니다.

공격 트랜잭션:

https://www.oklink.com/cn/eth/tx/0x00b375f8e90fc54c1345b33c686977ebec26877e2c8cac165429927a6c9bdbec

7호

지난 9월 13일 암호화폐 거래소 코인엑스(CoinEx)가 해커 공격을 당했는데, 공식 발표에 따르면 이번 사건의 원인은 개인키 유출이었다. 해커들은 7천만 달러 상당의 토큰을 훔쳤습니다. 동시에 해당 금액은 관리 중인 전체 자산의 극히 일부에 불과하며 영향을 받은 사용자는 모든 자본 손실에 대해 전액 보상을 받게 될 것이라고 밝혔습니다.

8호

9월 14일, ETH 체인의 Remitano 프로젝트가 해킹된 것으로 의심되어 약 270만 달러의 손실을 입었습니다.

공격 계약:

https://www.oklink.com/cn/eth/address/0x74530e81E9f4715c720b6b237f682CD0e298B66C

9호

9월 20일, ETH에 대한 XSDWETHpool 프로젝트가 약 4.34 WETH의 플래시 대출 공격으로 도난당했습니다. 취약점의 원인은 라우터 계약에서 제공하는 swapXSDForETH() 함수의 구현이 Checks-Effects-Interactions 패턴을 따르지 않아 사용자에게 ETH를 보낼 때 재진입 공격이 발생한다는 것입니다.

공격자 주소:

https://www.oklink.com/cn/eth/address/0x42abe1f4ded3498ea539d429fbce74bdb52d961a

공격 트랜잭션:

https://www.oklink.com/cn/eth/tx/0x10e3388dc801fbeb9be80687803034047f787cfe78ada237db65a027afb1ca9e

10호

9월 21일, ETH의 Sunflower 프로젝트가 공격을 받았고, 공격자는 약 $500의 수익을 올렸습니다. 취약점의 원인은 SunflowerV2의 코드 구현 로직에 결함이 있기 때문에 사용자가 SunflowerV1에 자산을 한 번 입금할 수 있지만 SunflowerV2 및 SunflowerV1에서는 각각 출금할 수 있다는 것입니다.

자산의 2배.

공격자 주소:

https://www.oklink.com/cn/eth/address/0x0000f7848F682C69404721A3f7B5070c46D80000

공격 트랜잭션:

https://www.oklink.com/cn/eth/tx/0x6e133d36636819be29cc3cc8d349de3ecae09a802c0b8d15a2cd67cd3c42b1ad

11호

9월 24일, BSC의 KUB/KUB 분할 토큰 중 약 78,400달러가 플래시 대출 공격으로 도난당했습니다. 공격자는 손상된 계약과 상호 작용하고 가짜 USDC 토큰을 사용하여 채굴 풀을 조작하기 위해 악의적인 계약을 생성했습니다.

관련 주소:

KUB-SPLIT 토큰 계약: https://www.oklink.com/cn/bsc/address/0xc98E183D2e975F0567115CB13AF893F0E3c0d0bD

KUB 토큰 계약: https://www.oklink.com/cn/bsc/address/0x808602d91e58f2d58D7C09306044b88234ab4628

공격자의 계약 주소: https://www.oklink.com/cn/bsc/address/0xa7Fe9c5D4b87b0d03E9bB99F4B4E76785de26b5D

공격자 주소: https://www.oklink.com/cn/bsc/address/0x7Ccf451D3c48C8bb747f42F29A0CdE4209FF863e

가짜 USDC 토큰: https://www.oklink.com/cn/bsc/address/0xa88D48a4c6D8dD6a166A71CC159A2c588Fa882BB

12호

9월 24일, BSC 체인의 siriSwap 프로젝트가 플래시 대출 공격을 받았고, 공격자는 약 22,000달러의 수익을 올렸습니다.

공격 트랜잭션:

https://www.oklink.com/cn/bsc/tx/0x2b0877b5495065e90d956e44ffde6aaee5e0fcf99dd3c86f5ff53e33774ea52d

13호

9월 27일에는 BSC의 XSDWETHpool 프로젝트에서 플래시 대출 공격으로 약 56.96개의 WBNB가 도난당했습니다. 공격자는 공격받은 계약과 상호 작용하기 위해 악의적인 계약을 생성하여 $12.1K의 이익을 얻었습니다. 취약점의 원인은 라우터 계약에서 제공하는 swapXSDForETH() 함수의 구현이 Checks-Effects-Interactions 패턴을 따르지 않아 BNB를 사용자에게 보낼 때 재진입 공격이 발생한다는 것입니다.

공격받은 계약서: https://www.oklink.com/cn/bsc/address/0xbfBcB8BDE20cc6886877DD551b337833F3e0d96d

악성 계약: https://www.oklink.com/cn/bsc/address/0x202E059a16D29a2F6aE0307AE3D574746b2B6305

공격 트랜잭션: https://www.oklink.com/cn/bsc/tx/0xbdf76f22c41fe212f07e24ca7266d436ef4517dc1395077fabf8125ebe304442

1.2 RugPull 인벤토리

No.1

9월 2일, ETH 체인의 CoredeFinance 프로젝트에서 RugPull이 발생했으며 EOA 주소(0x18500)는 약 27 ETH, $43.9K 상당의 수익을 올렸습니다.

2호

9월 5일, ETH 체인에 있는 가짜 Lybra Finance 토큰의 배포자 주소는 60 WETH를 LP로 추가한 후 83 WETH를 인출하여 37,000달러 상당의 23 WETH의 수익을 올렸습니다.

3호

9월 5일, 계약 배포자가 ETH 체인에 배포한 가짜 Base 토큰에서 대량의 유동성이 제거되어 $544,000의 수익이 발생했습니다. BSC 체인에 배포된 가짜 Base 토큰은 계약 배포자에 의해 많은 양의 유동성을 제거하여 $71.6K의 수익을 올렸습니다.

4호

9월 5일 계약 배포자가 ETH 체인에 배포한 Haribo 토큰에서 대량의 유동성을 제거하여 35,400달러 상당의 24 ETH의 수익을 올렸습니다.

5호

9월 7일, 계약 배포자가 BSC 체인의 가짜 Patex 토큰에서 대량의 유동성을 제거하여 $97.5K의 수익을 올렸습니다.

6호

9월 8일, 계약 배포자가 BSC 체인의 가짜 Helio 프로토콜 토큰에서 대량의 유동성을 제거하여 127,000달러의 수익을 얻었습니다.

7호

9월 15일, ETH 체인에 배포된 FriendChipsTech 토큰은 계약 배포자에 의해 대량으로 발행 및 판매되어 $77.5K의 이익을 얻었습니다.

8호

9월 16일, BSC 체인의 MED 토큰 프로젝트가 발행되어 계약 배포자에 의해 대량의 토큰이 판매되어 약 53,000달러의 수익을 얻었습니다.

9호

9월 17일, BSC 체인의 가짜 BitGo 토큰에서 RugPull이 발생하여 약 194,300달러의 손실이 발생했습니다.

10호

9월 20일, BSC 체인의 Baka Casino(BAKAC) 프로젝트에서 RugPull이 발생하여 약 57,000달러의 손실이 발생했습니다.

11호

9월 21일, ETH 체인의 PEPEP 프로젝트에서 RugPull이 발생하여 약 45,000달러의 손실이 발생했습니다.

12호

11호

9월 21일, ETH 체인의 PEPEP 프로젝트에서 RugPull이 발생하여 약 45,000달러의 손실이 발생했습니다.

12호

9월 21일, ETH 체인의 YZER 프로젝트는 유동성을 제거하여 RugPull을 경험했으며 그 결과 약 $28.6K의 손실이 발생했습니다.

13호

9월 21일, BSC 체인의 BNBpay 프로젝트는 유동성 제거로 RugPull을 경험하여 약 114,000달러의 손실을 입었습니다.

14호

9월 22일, BSC 체인의 BEAST 프로젝트는 유동성 제거로 RugPull을 경험하여 약 $55.3K의 손실을 입었습니다.

15호

9월 23일, ETH 체인의 CAT 프로젝트는 유동성을 제거하여 RugPull을 진행하여 18.7 WETH, $29.7 상당의 이익을 얻었습니다.

16호

9월 23일 BSC 체인의 DUO 프로젝트는 유동성 제거로 RugPull을 경험하여 약 $352.9의 손실을 입었습니다.

17호

9월 25일, BSC 체인의 가짜 Justus 프로젝트에서 RugPull이 발생하여 약 59,000달러의 손실이 발생했습니다.

1.3 소셜 미디어 사기 및 피싱 인벤토리

No.1

9월 1일 @lamasfinance 공식 디스코드가 공격을 받았고, 공격자는 피싱 링크를 게시했습니다.

2호

9월 2일 @BalthazarDao의 공식 디스코드가 공격을 받았고, 공격자가 공식 채널을 통제했습니다.

3호

지난 9월 3일 @ParasHQ 공식 트위터가 공격을 받았고, 공격자는 피싱 링크를 게시했다.

4호

지난 9월 4일 @The_Saber_DAO 공식 디스코드가 공격을 받았고, 공격자는 피싱 링크를 게시했습니다.

5호

9월 6일 @BigB_NFT 공식 디스코드가 공격을 받았습니다.

6호

9월 7일 @VictoryPoint_io 공식 디스코드가 공격을 받았고, 공격자는 피싱 링크를 게시했습니다.

7호

지난 9월 9일 @ACGWORLDS_META 공식 디스코드가 공격을 받았고, 공격자는 피싱 링크를 게시했다.

8호

지난 9월 10일 @VitalikButerin의 공식 트위터 계정이 공격을 받았고, 공격자는 피싱 링크를 게시했습니다.

9호

9월 11일 @witnet_io 공식 디스코드가 공격을 받았고, 공격자는 피싱 링크를 게시했습니다.

10호

9월 17일 @OneMintNFT 공식 디스코드가 공격을 받았고, 공격자는 피싱 링크를 게시했습니다.

11호

9월 23일 @timesoulcom 공식 디스코드가 공격을 받았고, 공격자는 피싱 링크를 게시했습니다.

12호

11호

9월 23일 @timesoulcom 공식 디스코드가 공격을 받았고, 공격자는 피싱 링크를 게시했습니다.

12호

9월 23일 @D3STAB1LIZED의 공식 디스코드가 공격을 받았고, 공격자는 피싱 링크를 게시했습니다.

13호

9월 23일 @bedu_io 공식 디스코드가 공격을 받았고, 공격자는 피싱 링크를 게시했다.

14호

9월 26일 @Entanglefi 공식 디스코드가 공격을 받았고, 공격자는 피싱 링크를 게시했습니다.

1.4 기타

No.1

9월 16일, 억만장자 기업가이자 댈러스 매버릭스의 구단주인 마크 쿠반(Mark Cuban)은 자신이 금요일 늦게 해킹을 당해 약 87만 달러의 손실을 입었다고 확인했습니다. (ETH 포함 총 10개 토큰 자산)

2호

9월 20일, DeFi 유동성 프로토콜인 Balancer가 BGP 또는 DNS 하이재킹 공격을 받았고, 공격자는 약 US$238,000의 수익을 올렸습니다. 이것은 .fi 최상위 도메인에 사용되는 도메인 이름 등록 기관인 EuroDNS에 대한 사회 공학 공격입니다. Balancer는 보다 안전한 등록 기관으로 이동하기 위해 .fi TLD의 지원 중단을 모색하고 있으며 TLD를 사용하는 다른 프로젝트에서 같은.

3호

지난 9월 23일 믹스인 네트워크에 대규모 보안 침해 사고가 발생했습니다. 이번 해킹으로 인한 피해액은 약 2억 달러에 달하는 것으로 알려졌다. MixinKernel의 클라우드 서비스 제공업체 데이터베이스에서 취약점이 발생하여 메인넷 자금이 손실되었습니다.

4호

지난 9월 24일, 업비트 시스템의 기술적인 장애로 인해 국내 최대 암호화폐 거래소인 업비트가 공격을 받았는데, 피해 금액은 알 수 없습니다. 이번 문제는 입금 시 토큰 인식 과정에 결함이 있어 플랫폼 내 앱토스 토큰($APT) 입출금에 영향을 미쳤다는 점이다.

5호

9월 25일, HTX 컨설턴트이자 Tron 창립자인 Justin Sun은 HTX(이전 Huobi)가 해킹당하여 총 5,000 ETH(미화 약 800만 달러 상당)의 손실이 발생했다고 밝혔습니다.

사건은 일요일에 발생했으며 즉시 확인되었습니다. 저스틴 선(Justin Sun)이 소셜 미디어 플랫폼에 추가되었습니다.

2. 안전 요약

2023년 9월 REKT와 RugPull의 보안 사고 건수는 크게 줄었지만 이로 인한 경제적 손실은 크게 늘어났습니다. 주요 피해 규모는 세계 최대 암호화폐 카지노 Stake 프로젝트와 암호화폐 거래소 코인엑스(CoinEx)에 대한 공격으로 인해 발생했다. 그러나 재진입 공격, 가격 조작, 개인 키 유출 등과 같은 다른 유형의 보안 문제는 여전히 자주 발생합니다.

위에서 언급한 보안 문제와 과제에 직면하여 우리는 보안 예방 조치를 더욱 강화하고 시스템의 공격 저항 능력을 향상시켜야 합니다. 우선, 잠재적인 보안 취약점을 적시에 발견하고 복구할 수 있도록 모든 암호화폐 플랫폼과 프로젝트 당사자가 프로젝트의 보안 검사 및 위험 평가를 강화할 것을 강력히 권장합니다. 둘째, 일반 이용자들도 개인키나 비밀번호의 부주의한 유출로 인한 불필요한 경제적 손실을 피하기 위해 보안의식을 제고하고 개인정보 보호를 강화해야 합니다.

마지막으로 사기 및 피싱 공격은 여전히 ​​소셜 미디어에서 활발히 이루어지고 있으므로 프로젝트 개발자와 사용자 모두 커뮤니티 보안 보호에 대한 인식을 높여야 합니다.