저자: Fairyproof

관점 개요

2022년에 비해 2023년 암호화 시장의 상황은 눈에 띄게 개선되었으며, 암호 자산의 전체 시가 총액이 크게 상승했습니다. 동시에 보안 사건의 발생 횟수도 크게 증가했습니다.

• Fairyproof가 조사한 489개의 전형적인 사례 중, 거의 12.3억 달러에 달하는 암호 자산이 도난당했습니다.

• 비트코인, 특히 각인 생태계의 급속한 성장과 함께 이 생태계의 보안 위험이 점점 두드러지고 있으며, 2023년에는 비트코인 생태계, 특히 각인 시설을 겨냥한 공격이 13건 발생했습니다.

• 해커가 개인 키 유출을 이용해 시작한 공격으로 인한 암호 자산 손실은 5.18억 달러에 달하며, 이 금액은 해커 공격으로 인한 모든 손실 금액의 45.07%를 차지합니다. 개인 키를 안전하게 보관하는 것은 모든 블록체인 사용자들이 항상 가장 중요하게 여겨야 할 사항입니다.

• 2023년, Fairyproof는 제로 지식 증명[1] 관련 기술 및 응용을 광범위하게 연구하고, 업계의 주요 솔루션과 응용 사례를 숙지했습니다. 개발 측면에서 Fairyproof는 사용자 요구 및 응용 사례에 따라 신속하게 솔루션을 개발하고 배포할 수 있는 완전한 프로세스와 모델을 다듬었습니다. 감사 측면에서 Fairyproof는 풍부한 경험을 축적하여 목표 문제를 제로 지식 회로로 변환하고, 회로 감사, 증명 생성, 증명 검증 등을 전문적으로 수행할 수 있습니다. 또한 Fairyproof는 제로 지식 응용의 구현 방안을 최적화하고, 기존의 인기 있는 솔루션보다 보안성과 탈중앙화 측면에서 더 우수한 자체 시스템을 개발했습니다.

• 2023년, Fairyproof는 다자간 안전 계산[2] (약칭 MPC) 기술에서도 대담하게 배치하여, 고객의 요구와 상황에 맞춰 신속하게 MPC 솔루션을 개발하고 배포할 수 있는 완전한 개발 프로세스와 모델을 확립했습니다.

배경 소개

Fairyproof의 연구 보고서 결과를 자세히 제시하기에 앞서, 본 보고서에 포함된 관련 용어를 설명할 필요가 있습니다.

CCBS

CCBS는 "중앙화된 암호 자산 또는 블록체인 서비스 기관"을 의미합니다. 이는 일반적으로 인위적으로 운영 관리되는 비체인 서비스 플랫폼을 지칭하며, 핵심 기술은 주로 전통적인 중앙화 기술에 의존하고, 일상 운영 활동은 주로 체인 외 활동입니다. 전통적인 암호 자산 거래소(예: Binance), 암호 자산 발행 및 수용 플랫폼(예: Tether) 등이 이러한 전형적인 예입니다.

플래시 론 (FLASHLOAN)

플래시 론은 해커가 이더리움 가상 머신 플랫폼에서 스마트 계약을 공격하는 일반적이고 인기 있는 방법입니다. 플래시 론은 유명한 DeFi 응용 프로그램 AAVE[3] 팀이 발명한 계약 호출 방식입니다. 이 계약 호출 방식은 사용자가 어떤 담보 없이도 이러한 기능을 지원하는 DeFi 응용 프로그램에서 직접 암호 자산을 빌릴 수 있게 해주며, 사용자가 한 블록 거래 내에서 해당 자산을 반환하기만 하면 거래가 유효해집니다[4]. 처음 이 기능은 DeFi 사용자에게 더 유연하고 편리한 수단을 제공하기 위해 발명되었습니다. 그러나 나중에 플래시 론은 그 유연성 덕분에 해커가 ERC-20[5] 토큰을 빌려 공격하는 가장 많이 사용되는 시나리오가 되었습니다. 플래시 론을 시작하기 전에 사용자는 빌린 자산과 반환할 자산, 이자 및 관련 수수료의 논리를 명확하게 하나의 계약에 설명한 후 해당 계약을 호출하여 플래시 론을 시작해야 합니다.

크로스 체인 브리지 (CROSS-CHAIN BRIDGE)

크로스 체인 브리는 여러 독립 블록체인을 연결하는 기본 인프라로, 서로 다른 블록체인에 배포된 토큰이 각 블록체인 간에 상호 유통될 수 있게 합니다.

점점 더 많은 블록체인이 자신의 생태계, 응용 및 암호 자산을 갖게 되면서, 이러한 응용 및 자산의 크로스 블록체인 통신 및 거래에 대한 수요가 크게 증가했습니다. 이로 인해 크로스 체인 브리는 해커들이 주목하는 인기 있는 공격 대상이 되었습니다.

보고서 주요 내용

Fairyproof는 2023년에 발생한 489건의 전형적인 보안 사건을 자세히 연구하였으며, 본 보고서에서는 이러한 사건으로 인한 손실 금액, 원인 등 다양한 요소에 대한 통계 분석을 제공하고, 이에 대한 예방 권고 및 조치를 제시합니다.

2023년 보안 사건의 통계 및 분석

Fairyproof 연구팀은 2023년에 발생한 489건의 두드러진 보안 사건을 자세히 연구하였으며, 공격 대상과 공격 원인 두 가지 측면에서 통계 결과를 나열하고 분석하였습니다.

2023년 한 해 동안, 이 489건의 보안 사건으로 인한 암호 자산 손실 총액은 12.3억 달러에 달하며, Tradingview에 표시된 주요 암호 자산의 총 가치는 1.62조 달러입니다. 손실 자산은 총 시가 총액의 0.08%를 차지합니다.

피해 대상에 따른 보안 사고 분류

Fairyproof가 연구한 보안 사건은 피해 대상에 따라 다음 네 가지로 분류할 수 있습니다:

1. 중앙화된 암호 자산 또는 블록체인 서비스 기관 (CCBS, 이하 CCBS를 이 개념으로 지칭)
2. 블록체인 (Blockchains)
3. 탈중앙화 응용 (dApps)
4. 크로스 체인 브리지 (Cross-chain Bridges)

본 보고서에서 언급하는 CCBS 보안 사건은 공격이나 피해를 입은 대상이 CCBS 시스템인 사건을 의미합니다. 이러한 사건에서는 CCBS가 보관한 자산이 도난당하거나 운영 서비스가 중단됩니다.

블록체인 보안 사건은 블록체인 메인넷, 사이드 체인 또는 블록체인 메인넷에 의존하는 제2층 확장 시스템이 공격이나 피해를 입은 사건을 의미합니다. 일반적으로 이러한 사건에서는 해커가 시스템 내부, 외부 또는 두 측면 모두에서 공격을 시작하여 시스템 소프트웨어나 하드웨어에 이상을 초래하고 자산 손실을 발생시킵니다.

dApp 보안 사건은 dApp이 공격을 받아 정상적으로 작동하지 않아 해커가 dApp에서 관리하는 암호 자산을 도난할 기회를 갖게 되는 사건을 의미합니다.

크로스 체인 브리지 보안 사건은 크로스 체인 브리가 공격을 받아 정상적으로 작동하지 않거나, 심지어 거래된 암호 자산이 도난당하는 사건을 의미합니다.

Fairyproof는 총 489건의 사건을 위의 네 가지로 분류하였으며, 그 비율 분포도는 다음과 같습니다:

그래프에서 알 수 있듯이, dApp 보안 사건의 수는 전체의 88.34%를 차지합니다. 이 중 20건은 CCBS 보안 사건, 26건은 블록체인 보안 사건, 432건은 dApp 보안 사건입니다.

블록체인 보안 사건

블록체인과 관련된 보안 사건은 다음 세 가지로 세분화할 수 있습니다:

1. 블록체인 메인넷 (Blockchain mainnets)
2. 사이드 체인 (Side chains)
3. 제2층 확장 시스템 (Layer 2 solutions)

블록체인 메인넷은 Layer 1이라고도 하며, 독립적인 블록체인으로, 자체 네트워크, 프로토콜, 합의 및 검증자를 갖추고 있습니다. 블록체인 메인넷은 거래, 데이터 및 블록을 검증할 수 있으며, 이 모든 검증 작업은 자체 검증자가 수행하고 최종적으로 일관성을 확보합니다. 비트코인과 이더리움이 전형적인 블록체인 메인넷입니다.

사이드 체인은 블록체인 메인넷과 병행하여 운영되는 독립적인 블록체인입니다. 자체 합의 및 검증자를 갖추고 있지만, 어떤 방식(예: 양방향 고정[6])으로 블록체인 메인넷과 연결됩니다.

제2층 확장 시스템은 블록체인 메인넷에 의존하는 시스템으로, 블록체인 메인넷이 보안 및 최종 일관성을 제공해야 합니다[7]. 이는 주로 블록체인 메인넷의 확장성을 해결하기 위해 설계되었으며, 더 낮은 비용과 가격으로 거래를 처리할 수 있습니다. 2021년 이후, 이더리움에 의존하는 제2층 확장 시스템은 급속히 발전하였습니다.

사이드 체인과 제2층 확장 시스템은 모두 블록체인 메인넷의 확장성을 해결하기 위해 존재합니다. 두 가지의 주요 차이점은 사이드 체인은 블록체인 메인넷의 보안성과 일관성에 의존하지 않지만, 제2층 확장 시스템은 의존한다는 점입니다.

2023년에는 총 26건의 블록체인 관련 보안 사건이 발생했습니다. 아래 그래프는 블록체인 메인넷, 사이드 체인 및 제2층 확장 시스템의 비율을 보여줍니다.

그래프에서 볼 수 있듯이, 블록체인 메인넷과 제2층 확장은 각각 84.62% (22건)와 15.38% (4건)를 차지하며, 심각한 사이드 체인 사건은 발생하지 않았습니다. 4건의 사건은 이더리움 제2층 확장과 관련된 Metis[8], zkLink[9], Boba[10] 및 Arbitrum[11]입니다. 블록체인 메인넷과 관련된 사건 중 Mixin이 겪은 공격 손실이 가장 컸으며, 다른 메인넷 프로젝트에 대한 공격은 주로 사회적 공격으로 큰 자산 손실을 초래하지 않았습니다.

DAPP 보안 사건

432건의 dApps와 관련된 보안 사건 중 45건은 도주, 263건은 연루, 124건은 직접 공격을 받았습니다. dApp에 대한 직접 공격은 일반적으로 세 가지 측면: dApp의 프론트엔드, 백엔드 및 스마트 계약과 관련이 있습니다. 따라서 우리는 124건의 직접 공격 사건을 다음 세 가지로 분류합니다:

1. dApp 프론트엔드
2. dApp 백엔드
3. dApp 계약

dApp 프론트엔드가 공격받은 사건에서는 해커가 주로 프론트엔드 취약점을 통해 공격하여 자산을 도난하거나 서비스를 마비시킵니다.

dApp 백엔드가 공격받은 사건에서는 해커가 주로 백엔드 취약점을 통해 공격하며, 예를 들어 백엔드와 계약 간의 통신을 탈취하거나 자산을 탈취하거나 서비스를 마비시킵니다.

dApp 계약이 공격받은 사건에서는 해커가 주로 계약 취약점을 통해 공격하여 자산을 도난하거나 서비스를 마비시킵니다.

아래 그래프는 이 세 가지 범주에서 공격 사건의 비율을 보여줍니다:

위 그래프에서 보듯이, 계약, 백엔드 및 프론트엔드 공격 사건의 비율은 각각 95.16%, 0% 및 4.84%입니다. 총 124건의 사건 중 6건은 프론트엔드 공격, 118건은 계약 공격입니다.

우리는 각 사건이 초래한 암호 자산 손실 금액을 추가로 연구하였습니다. 프론트엔드 공격으로 인한 손실은 23.8만 달러, 계약 공격으로 인한 손실은 5.42억 달러에 달합니다.

명백히 계약 보안이 여전히 가장 큰 문제입니다. 그리고 많은 계약 취약점 중에서 논리 결함, 개인 키 유출, 플래시 론 공격, 재진입 공격이 전형적인 취약점입니다.

우리는 118건의 계약 공격 사건을 연구하여 다음과 같은 비율 그래프를 얻었습니다:

위 그래프에서 보듯이, 논리 결함이 계약 보안 사건에서 가장 높은 비율을 차지하며, 그 다음이 플래시 론 공격입니다. 논리 결함에는 일반적으로 매개변수 검증 부족, 권한 검증 부족 등이 포함됩니다. 53건의 사건이 논리 결함으로 인한 것이며, 28건의 사건이 플래시 론 공격으로 인한 것입니다.

아래 그래프는 각 취약점이 초래한 손실 금액 비율을 보여줍니다:

위 그래프에서 알 수 있듯이, 논리 결함으로 인한 손실 금액은 모든 범주에서 1위를 차지하며, 53건의 보안 사건이 2.86억 달러의 손실을 초래하여 총 금액의 52.83%를 차지합니다; 개인 키 유출로 인한 손실은 2위로, 6건의 사건이 1.74억 달러의 손실을 초래하여 비율은 32.1%입니다; 재진입 공격으로 인한 손실 금액은 3위로, 10건의 보안 사건이 2906만 달러의 손실을 초래하여 비율은 5.36%입니다.

원인에 따른 보안 사고 분류

블록체인 보안 사고의 원인에 따라 우리는 사고를 세 가지로 분류합니다:

1. 해커 공격에 의한 것
2. 도주
3. 기타

우리의 연구 결과는 다음 그래프와 같습니다:

위 그래프에서 보듯이, 해커 공격과 도주로 인한 보안 사고는 각각 88.75% (434건) 및 9.2% (45건)를 차지합니다.

우리는 이러한 원인이 초래한 손실을 연구하였으며, 아래 그래프와 같습니다:

위 그래프에서 보듯이, 해커 공격과 도주로 인한 손실 금액은 각각 93.04%와 3.87%를 차지하며, 전자는 11.5억 달러의 손실을 초래하고, 후자는 4776만 달러의 손실을 초래했습니다. 이는 2023년 해커 공격이 여전히 산업 보안이 직면한 주요 위협임을 나타냅니다.

해커 공격 사건

우리는 해커 공격 사건을 연구하였으며, 아래 그래프와 같습니다:

위 그래프에서 보듯이, 해커가 dApp, CCBS 및 블록체인을 공격한 사건의 비율은 각각 89.38% (387건), 4.62% (20건) 및 6% (26건)입니다.

우리는 각 사건이 초래한 손실 금액을 연구하였으며, 아래 그래프와 같습니다:

해커가 dApp, CCBS 및 블록체인을 공격하여 초래한 자산 손실 비율은 각각 58.95%, 24.03% 및 17.02%이며, 구체적인 손실 금액은 각각 6.94억 달러, 2.83억 달러 및 2억 달러입니다.

도주 사건

2023년에 발생한 도주 사건은 주로 dApp 프로젝트에서 발생했습니다. 총 45건의 도주 사건으로 인한 손실 금액은 4776만 달러에 달합니다. 이 손실 금액은 해커 공격으로 인한 손실 금액에 비해 훨씬 적습니다.

연구 발견

우리의 통계 데이터에 따르면, 2023년 해커가 가장 선호하는 공격 대상은 여전히 dApp 프로젝트이며, dApp에 대한 공격 사건 수는 다른 어떤 대상보다 훨씬 많고, 초래된 자산 손실은 6.94억 달러로 모든 공격 사건 총 금액의 58.95%를 차지합니다. 이는 현재 dApp의 보안 상태에 상당한 우려가 있음을 나타내며, 현재 전체 블록체인 생태계의 보안 문제에 주목해야 할 주요 문제입니다.

전체 블록체인 생태계에 대해 해커는 여전히 가장 큰 보안 위협이며, 이는 초래된 보안 사건 수와 자산 손실 모두에서 나타납니다. 해커 공격으로 인한 보안 사건 수는 전체 보안 사건 수의 88.75%를 초과하며, 공격으로 인한 자산 손실 금액은 모든 손실 금액의 93.04%를 초과하여 도주 사건이 생태계에 미치는 위협을 훨씬 초과합니다.

2023년 해커의 제2층 확장 시스템에 대한 공격은 수량과 손실 금액 모두에서 2022년보다 낮았습니다. 우리는 이것이 제2층 확장 기술이 더욱 성숙해지고, 보안성에 대한 관심이 더 커진 결과라고 생각합니다.

전형적인 dApp은 세 부분으로 구성됩니다: 프론트엔드, 백엔드 및 스마트 계약. 해커가 dApp을 공격할 때, 그 중 하나의 부분을 공격하거나 여러 부분을 동시에 공격합니다. 우리의 통계 데이터에 따르면, 스마트 계약에 대한 공격은 수량과 금액 모두에서 프론트엔드 및 백엔드 공격을 훨씬 초과합니다. 이는 스마트 계약이 여전히 해커가 dApp을 공격할 때 가장 주요한 공격 목표임을 나타냅니다.

2023년에 발생한 전형적인 도주 사건은 모두 dApp 프로젝트입니다. 이는 dApp 도주가 여전히 사용자들이 도주 위험을 고려할 때 방지해야 할 주요 사항임을 나타냅니다.

스마트 계약이 해커 공격을 받는 사건에서 논리 결함으로 인한 공격 사건 수와 초래된 손실 금액이 모두 가장 높은 비율을 차지하며, 다른 범주를 훨씬 초과합니다.

탐색 및 사고

점점 더 많은 창업 팀이 제로 지식 증명 관련 응용 분야로 몰려들고 있으며, 이더리움 기반의 ZK 제2층 확장 솔루션, ZK 기반의 소셜 응용 등 다양한 계획을 세우고 있습니다. 우리는 이러한 응용의 폭발과 출현에 따라 ZK 시스템 기반의 개발 및 감사 수요가 급증할 것이라고 생각합니다.

보안 사고 예방을 위한 실천 방안 및 조치

본 절에서는 2023년에 발생한 보안 사고의 특징에 따라 블록체인 개발자와 사용자가 블록체인 위험을 관리하고 예방하는 데 도움이 되는 방안과 조치를 요약합니다. 우리는 블록체인 개발자와 사용자 모두가 일상적인 작업 및 운영에서 이러한 방안과 조치를 최대한 실천하고 적용하여 프로젝트와 암호 자산의 안전을 최대한 보호할 것을 권장합니다.

주: "블록체인 개발자"는 블록체인 프로젝트 자체의 개발 엔지니어를 포함하며, 블록체인 시스템 또는 그 연장 시스템(예: 암호 자산 등)과 관련된 개발자를 포함합니다. "블록체인 사용자"는 블록체인 시스템 활동(예: 관리, 운영, 유지 등) 또는 암호 자산 거래에 참여하는 모든 사용자를 의미합니다.

블록체인 개발자에 대한 권장 사항

크로스 체인 브리지 개발자는 크로스 체인 브리지의 보안에 높은 관심을 가져야 합니다. 크로스 체인 브리지 솔루션은 일반적으로 체인 내 작업과 체인 외 작업 두 부분으로 구성됩니다. 체인 외 작업은 상대적으로 해커의 공격을 받기 쉬우므로, 크로스 체인은 체인 외 작업의 보안성과 신뢰성에 특별히 주의해야 합니다.

비록 2023년 제2층 확장 공격으로 인한 손실 금액이 크로스 체인 브리지에 비해 크지 않지만, 그 보안성 또한 중요하게 여겨져야 합니다. 앞으로 제2층 확장 솔루션의 발전과 실행이 폭발적으로 증가할 것이므로, 그 솔루션의 보안성 연구는 업계가 직면한 주요 도전 과제가 될 것입니다.

블록체인 응용에서 프로젝트가 배포되고 안정적으로 운영된 후, 프로젝트에서 핵심 작업을 제어하는 권한을 다중 서명 지갑이나 DAO 조직으로 이전하여 관리하는 것은 매우 필요한 단계입니다.

해커가 스마트 계약의 취약점을 발견하면, 종종 플래시 론을 이용해 계약을 공격합니다. 이러한 취약점은 일반적으로 재진입 취약점, 논리 결함(예: 권한 검증 부족, 잘못된 가격 알고리즘 등) 등을 포함합니다. 이러한 취약점을 철저히 예방하고 처리하는 것은 스마트 계약 개발자에게 항상 높은 주의를 요구하며, 심지어 가장 중요한 사항으로 우선시되어야 합니다.

우리의 통계 데이터는 점점 더 많은 해커가 소셜 미디어 소프트웨어(예: Discord, Twitter 등)를 통해 피싱 공격을 시작하고 있음을 보여줍니다. 이 현상은 2022년 내내 지속되었습니다. 많은 사용자가 이로 인해 손실을 입었습니다. 프로젝트 측은 운영하는 소셜 미디어에 대해 엄격하고 철저한 관리를 시행하고, 해당 소셜 미디어 운영의 안전성과 안정성을 보장하기 위해 적절한 보안 솔루션을 배치해야 합니다.

블록체인 사용자에 대한 권장 사항

점점 더 많은 사용자가 다양한 블록체인 생태계 활동에 참여하고 있으며, 다양한 블록체인 생태계 자산을 보유하고 있습니다. 이 과정에서 크로스 체인 거래 활동도 급증하고 있습니다. 사용자가 크로스 체인 거래에 참여할 때, 사용자는 크로스 체인 브리지와 상호 작용해야 하며, 크로스 체인 브리는 해커들이 자주 주목하는 공격 대상입니다. 따라서 사용자가 크로스 체인 거래를 시작하기 전에 사용하고 있는 크로스 체인 브리지의 보안 상태와 운영 상태를 자세히 조사하고 이해하여 크로스 체인 브리지가 안전하고 안정적이며 신뢰할 수 있는지 확인해야 합니다.

사용자가 dApp과 상호 작용할 때, 반드시 스마트 계약의 품질과 보안에 높은 관심을 가져야 하며, dApp 프론트엔드의 보안도 주의해야 합니다. 프론트엔드에서 나타나는 불명확한 출처의 의심스러운 정보, 알림, 대화 등에 대해 조심스럽게 처리하고, 임의로 클릭하거나 지침에 따라 작업하지 않아야 합니다.

우리는 사용자가 어떤 블록체인 프로젝트와 상호 작용하기 전에 또는 블록체인 프로젝트에 투자하기 전에 해당 프로젝트의 감사 보고서를 신중하게 확인하고 읽을 것을 강력히 권장합니다. 감사 보고서가 없거나 보고서가 의심스러운 프로젝트에 대해서는 신중하게 참여해야 합니다.

우리는 사용자가 대규모 자산이나 자주 거래하지 않는 자산을 관리할 때 가능한 한 콜드 월렛이나 다중 서명 지갑을 사용할 것을 권장합니다. 항상 핫 월렛의 운영 안전성에 주의하고, 핫 월렛이 설치된 하드웨어 플랫폼 자체가 안전하고 신뢰할 수 있으며 안정적인지 확인해야 합니다.

사용자는 블록체인 프로젝트 팀의 배경에 대해 일정 정도 조사하고 이해해야 합니다. 팀 배경이 불분명하거나 신뢰가 결여된 팀에 대해서는 주의해야 합니다. 이러한 프로젝트는 도주 위험이 발생할 수 있습니다. 자주 사용되는 중앙화 거래소에 대해서는 팀의 배경과 신뢰를 더욱 주의 깊게 살펴보고, 가능한 한 여러 제3자 데이터 소스를 통해 이러한 거래소의 배경, 정보 및 데이터를 확인하여 거래소가 지속적으로 안전하게 운영될 수 있도록 해야 합니다.

참고 자료

[1] 제로 지식 증명. https://en.wikipedia.org/wiki/Zero-knowledge_proof

[2] MPC. https://en.wikipedia.org/wiki/Securemulti-partycomputation

[3] Aave. https://aave.com/

[4] 플래시 론. https://aave.com/flash-loans/

[5] ERC-20 토큰 표준. https://ethereum.org/en/developers/docs/standards/tokens/erc-20/

[6] 사이드 체인. https://ethereum.org/en/developers/docs/scaling/sidechains/

[7] 제2층. https://academy.binance.com/en/glossary/layer-2

[8] Metis. https://www.metis.io/

[9] zkLink. https://zk.link/

[10] Boba. https://boba.network/

[11] Arbitrum. https://arbitrum.io/