Cointime

Cointime

Download App
iOS & Android

삼켜진 블랙홀: Vyper 취약점으로 인해 Curve가 견고하게 전복됨

Validated Project

최근 매우 안정적인 통화 프로토콜 Curve가 재진입 공격을 받아 심각한 손실을 입었습니다. 다음은 이 공격에 대한 MetaTrust Labs의 보안 분석 및 보안 권장 사항입니다.

이벤트 리뷰

Curve Finance의 공식 Twitter에 따르면 2023년 7월 31일 Vyper 버전 0.2.15를 사용하여 작성된 일부 안정적인 풀(alETH/msETH/pETH)이 재진입 공격을 받았습니다. Curve Finance는 공격이 Vyper 버전 0.2.15의 재진입 잠금 오작동으로 인해 발생했으며 순수한 ETH를 사용하는 풀에만 영향을 미쳤다고 밝혔습니다. 현재 Curve는 피해를 평가하고 있으며 다른 수영장은 안전합니다.

MetaTrust Labs의 분석에 따르면 이 취약점은 주로 Vyper의 버전 0.2.15/0.2.16/0.3.0 컴파일러로 인해 2021년 8월과 10월 사이에 도입되었습니다. 취약점의 원인은 생성된 바이트 코드의 재진입 논리가 컴파일러의 버그로 인해 적용되지 않아야 하기 때문입니다.

체인의 통계에 따르면 Curve Finance 스테이블 코인 풀 해킹 사건으로 인해 Alchemix, JPEG'd, CRV/ETH 풀 등에서 미화 5,200만 달러의 누적 손실이 발생했습니다. Curve Finance의 토큰 CRV도 이날 15% 이상 하락하며 큰 타격을 받았다.

원인 분석

이번에 Curve Finance가 공격을 받은 이유는 Curve가 Vyper 언어를 사용하여 스마트 계약을 작성할 때 Vyper 버전 0.2.15를 사용했는데, 이 버전에는 오작동하는 재진입 잠금(reentrancy lock failure)이라는 취약점이 있습니다. 손실을 유발하는 재진입 공격. 이번 Curve Finance의 취약점은 언어별 취약점입니다.

언어 특정 취약점은 특정 프로그래밍 언어 또는 컴파일러 자체의 결함 또는 비호환성으로 인해 발생하는 취약점을 말합니다. 이러한 취약점은 개발자 과실이나 논리 오류로 인해 발생하는 것이 아니라 기본 기술 플랫폼의 문제로 인해 발생하기 때문에 발견하고 방지하기 어려운 경우가 많습니다. 이러한 유형의 취약점은 모두 동일한 언어 또는 컴파일러를 사용하기 때문에 여러 프로젝트 또는 계약에 영향을 미치는 경향이 있습니다.

Vyper는 더 나은 보안과 가독성을 위해 설계된 Python 기반 스마트 계약 프로그래밍 언어입니다. Vyper는 "안전 우선" 언어라고 주장하며 클래스, 상속, 수정자, 인라인 어셈블리 등과 같이 보안 위험을 유발할 수 있는 일부 기능을 지원하지 않습니다. 그러나 Vyper는 완벽하지 않으며 여전히 계약의 보안에 영향을 미칠 수 있는 일부 버그나 허점이 있습니다. 예를 들어 이번에 Curve Finance에서 발생한 재진입 잠금 실패 외에도 Vyper는 범위를 벗어난 배열, 정수 오버플로 및 스토리지 액세스 오류와 같은 문제를 경험했습니다.

보안 조치

이번 Curve Finance의 재진입 공격에 대해 몇 가지 대응책이 취해지거나 제안되었습니다. 취할 수 있는 몇 가지 보안 조치는 다음과 같습니다.

  • 유동성 철회: 영향을 받는 풀의 경우 사용자는 추가 손실을 피하기 위해 유동성을 철회하도록 선택할 수 있습니다. Curve Finance는 공식 웹사이트에 유동성을 인출할 수 있는 버튼을 제공하여 사용자가 조작하기 편리합니다.
  • 컴파일러 업그레이드: Vyper 0.2.15/0.2.16/0.3.0 컴파일러를 사용하는 계약의 경우 재진입 잠금 실패 문제를 수정한 최신 Vyper 0.3.1 버전으로 업그레이드하는 것이 좋습니다. 동시에 공식 확인, 코드 감사 등과 같은 계약의 보안을 확인하기 위해 다른 도구나 방법을 사용하는 것이 좋습니다.
  • 경계: Vyper 또는 기타 언어로 작성된 계약의 경우 경계하고, 언어 또는 컴파일러 업데이트 및 버그 수정에 주의를 기울이고, 자산을 보호하기 위해 적시에 필요한 조치를 취하는 것이 좋습니다. 동시에 새로운 언어나 새로운 기술을 사용할 때 성숙도와 안정성을 신중하게 평가하고 맹목적으로 신선함이나 효율성을 추구하지 않는 것이 좋습니다.

요약하다

요약하다

Curve Finance 재진입 사건은 안타까운 보안 사건이자 시사하는 바가 많은 교훈이었습니다. 분산 금융(DeFi) 분야에서 보안은 항상 최우선 순위입니다.프로젝트 당사자는 지속적으로 보안 인식과 기능을 개선해야 합니다.모든 세부 사항은 공격자가 악용할 수 있는 돌파구가 될 수 있습니다.

팔로우

트위터: @ MetaTrustLabs

웹사이트: metatrust.io

스마트 계약
댓글

모든 댓글

Recommended for you

  • DEXX 설립자: 해커가 주도적으로 48시간 이내에 연락을 취하더라도 그는 여전히 의사소통을 할 의향이 있고, 그렇지 않으면 끝까지 연락할 것입니다.

    11월 25일 뉴스에 따르면, DEXX의 창립자 로이는 DEXX가 현재까지 팀원을 한 명도 해고하지 않았으며 매일 초고액의 운영 비용을 유지하고 있다고 소셜 미디어에 게시했습니다. , 팀의 비용은 물론 다양한 노드 서비스 제공업체의 비용, 자본 비용 구성도 실제로 엄청납니다. 우리는 해커의 자금을 회수하기 위해 이번 주에 엄청난 자본 비용을 지불했습니다. 우리는 끝까지 책임을 지고 말과 행동이 일관되도록 하겠으며 계속해서 DEXX를 열반으로 이끌기를 희망합니다. 1. 우리는 법 집행 기관 및 여러 보안 회사와 협력하여 해커를 조사하고 대상으로 삼고 있으며 도난당한 자금을 회수하기로 결정했습니다. 2. 가장 어려운 시기에 동고동락하며 DEXX를 떠나지 않은 파트너들에게 매우 감사드립니다. 지금까지 플랫폼은 여전히 ​​거래와 수익을 창출하고 있습니다. 지난 주 동안 약 200만 달러에 가까운 거래량이 발생했으며, 약 20,000달러의 수익이 발생했습니다. 3. 팀은 이미 다수의 보안 전문가와 협력하여 사용자의 후속 자산의 보안을 보장하기 위해 자산 보안 솔루션을 재구성하고 업그레이드하고 있습니다. 4. 현재 팀에서는 피해를 입은 사용자에 대한 보상 계획을 수립 중이며 모든 주소와 모든 이체 자금을 신중하게 확인할 것입니다. 48시간 이내에 해커가 적극적으로 연락할 경우, 해결하겠다는 자세로 소통하고, 그렇지 않을 경우 끝까지 추적하겠습니다.

  • 모건스탠리 "달러화, 연말 전 정점에 달해 2025년 '약세장 패턴' 진입할 것"

    모건스탠리는 달러 강세는 연말 이전에 최고조에 달한 뒤 '약세장 패턴'에 돌입해 2025년에는 서서히 하락할 것으로 내다봤다. 은행은 일본은행이 금리를 인상하고 호주중앙은행의 완화 조치가 점진적일 것이라는 점을 고려할 때 일본 엔화와 호주 달러가 내년에 상승할 가능성이 가장 크다고 믿고 있습니다.

  • Equation News는 바이낸스를 "쥐 창고"라고 부릅니다. 귀하는 거래 시장 정서를 파괴하고 있습니다.

    25일 뉴스에 따르면 이퀘이션 뉴스는 바이낸스 무기한 계약 상장에 참여한 내부 트레이더들에게 다음번에는 칩을 천천히 팔아달라는 기사를 냈다. 귀하가 야기한 WHY 및 CHEEMS의 붕괴는 거래에 관련된 모든 사람에게 100% 부정적인 영향을 미쳤으며 귀하는 거래 정서를 파괴하고 있습니다. 오늘 오전, 바이낸스는 1000WHYUSDT와 1000CHEEMSUSDT 무기한 계약을 출시할 것이라고 발표했는데, 이로 인해 WHY와 CHEEMS의 단기 급락이 촉발되어 커뮤니티에서 열띤 토론이 촉발되었습니다.

  • Fundstrat의 디지털 자산 전략 책임자: 현재 김치 프리미엄은 약 0%입니다. 이는 BTC가 여전히 상승할 여지가 있음을 나타낼 수 있습니다.

    Sean, Fundstra 디지털 자산 전략 책임자 Farrell은 최근 고객 노트에서 "친구와 가족"이 암호화폐에 대해 다시 묻기 시작했으며 정량화 가능한 시장 지표를 기반으로 현재 상황은 3월 랠리나 2021년 말 순환 정점과 같은 거품이 아닌 것으로 보인다고 말했습니다. 현재 한국 시장의 김치 프리미엄 지표 데이터는 약 0%로 한국 거래자들의 과도한 흥분이 부족함을 나타냅니다. 일반적으로 시장이 정점에 도달하면 김치 프리미엄이 10% 이상으로 급등합니다. 지난주는 순수한 투기로 간주되어서는 안 됩니다. 비트코인은 여전히 ​​상승 여지가 있을 수 있습니다.

  • Solana Lianchuang은 Solana가 항상 ZK보다 빠르다고 Matter Labs CEO가 반박했습니다.

    솔라나 공동 창업자인 톨리는 리스폰디드(Responded)의 네티즌들에게 보낸 답변에서 "ZK는 항상 솔라나보다 낫다"고 말했다. 검증인 대신 수학으로 보호되기 때문에 더 빠릅니다. 즉, 중복성을 위한 검증인은 한 명 또는 몇 명이면 충분하며 수천 개의 노드 간의 합의를 기다릴 필요가 없습니다.”

  • 미국 하원의원 Mike Flood: 차기 SEC 의장과 협력하여 암호화폐 금융 정책 SAB 121을 폐지하기를 기대합니다.

    마이크 플러드(Mike Flood) 미 하원 의원은 최근 “광범위한 반대에도 불구하고 SAB 121은 정상적인 행정절차법 절차를 거치지 않았음에도 불구하고 법령으로서 계속 효과적으로 운영되고 있다”고 말했다. SAB 121을 폐지하기 위해 차기 SEC 위원장과 협력해야 합니다. Gary Gensler 회장이 스스로 사임하든 트럼프 대통령이 Gensler를 해고하겠다는 약속을 이행하든 새 행정부는 다음과 같은 새로운 시대를 열 수 있는 절호의 기회를 갖게 됩니다. 겐슬러가 퇴임한다. “올해 초 초당적으로 하원을 통과한 디지털 자산 규제 프레임워크에 겐슬러가 반대한 것은 놀랄 일이 아니다. 민주당 지도부에도 불구하고 71명의 민주당원이 하원 공화당 의원들과 합류해 이 상식적인 프레임워크를 통과시키기를 거부했다. 그러나 이는 암호화폐의 획기적인 순간을 의미하며 내년 1월에 다음 의회가 시작될 때 통합된 공화당 행정부의 업무에 영향을 미칠 수 있습니다.”

  • 인도의 억만장자 아다니(Adani)는 미국 SEC에 의해 뇌물수수 사건에 대한 입장을 설명하기 위해 소환되었습니다.

    인도의 억만장자 고탐 아다니(Gautam Adani)와 그의 조카 사가르 아다니(Sagar Adani)는 태양광 발전 계약을 성사시키기 위해 2억 5천만 달러 이상의 뇌물을 제공했다는 혐의를 설명하기 위해 미국 증권거래위원회(SEC)로부터 소환장을 받았습니다. 인도 언론신탁협회(PTI)에 따르면 인도 서부 도시 아흐메다바드에 있는 아다니 가문의 거주지로 21일 이내에 응답하라는 소환장이 송달됐다. PTI는 11월 21일 뉴욕 동부 지방 법원을 통해 발행된 통지문을 인용하여 아다니 가족이 기한 내에 응답하지 않을 경우 그들에 대한 불이행 판결이 내려질 것이라고 밝혔습니다.

  • 미국 SEC: 2024회계연도에는 총 583건의 집행 조치가 취해졌으며, 역사상 최대 규모의 재정 구제액인 82억 달러를 획득했습니다.

    미국 SEC는 최근 2024회계연도의 집행 노력이 사상 최고치를 기록했다고 발표하면서 시장 무결성과 투자자 보호를 유지하려는 노력을 강조했습니다. 기관은 "2024회계연도에는 총 583건의 집행 조치가 접수됐고, 82억 달러의 재정적 구제 조치가 취해졌으며 이는 2023년과 비교해 SEC가 집행 조치를 개시한 금액이 14건 증가한 것"이라고 밝혔다. %. SEC 의장 Gary Gensler는 법 집행 기관의 역할에 대해 다음과 같이 감사를 표시했습니다. "법 집행 기관은 범법자가 어디를 가든지 책임을 묻기 위해 사실과 법을 준수하는 확고한 경찰력입니다. 올해 결과에서 알 수 있듯이 법 집행 기관은 법 집행 기관의 청렴성을 증진하는 데 도움을 줍니다. 우리 자본 시장은 투자자와 발행자 모두에게 이익이 됩니다."

  • 미국 하원: 헤스터 피어스(Hester Peirce) SEC 위원장이 SEC의 새 회장 대행이 될 수도 있습니다.

    프렌치 힐 미국 하원의원은 북미 블록체인 정상회담(NABS)에서 공화당의 헤스터 피어스(Hester Peirce) 위원이 미국 증권거래위원회(SEC)의 새 의장 대행이 될 가능성이 “가능성이 높다”고 밝혔습니다. 그는 게리 겐슬러 현 회장이 2025년 1월 20일 사임한 뒤 공화당이 SEC를 장악하고 퍼스가 그 자리를 대신할 것으로 예상된다고 지적했다.

  • 머스크: 바이든과 해리스 캠페인에서 허위를 퍼뜨리는 전통 미디어는 여전히 존재한다

    엘론 머스크가 게시한 글

매일 필독

대중적인 활동

Delysium $AGI & AI Private Yacht Party

Delysium $AGI & AI Private Yacht Party

March 27 - March 27
Seoul
Cointime
Content
Company