Web3 보안 월보 | 5월 피싱 사건 빈발, 체인 상 도구는 어떻게 대응할까
이번 달 전역의 안전 사건으로 인한 손실이 전월 대비 27.27% 증가했으며, 피싱 및 사기 사건이 60% 이상을 차지하고 있습니다.저자: OKLink
이번 달 전역의 보안 사건으로 인한 손실이 전월 대비 27.27% 증가했으며, 피싱 및 사기 사건이 60% 이상을 차지합니다. 보안 인식은 디지털 자산을 보호하는 첫 번째 방어선이며, OKLink는 40개 이상의 주요 블록체인 탐색기와 원스톱 조회 서비스를 제공합니다. 또한 주소 모니터링, 토큰 권한 조회, 주소 건강도 등 도구를 통해 귀하의 자산 안전을 지켜드립니다.
이번 달 전역에서 누적 손실 약 1억 4천만 달러, 전월 대비 27.27% 증가했습니다.
공식 소셜 미디어에서 발생한 사기 및 피싱 사건은 총 27건이며, 그 손실 비율은 60.08%입니다. 주요 채널은 X, Discord 및 각종 피싱 웹사이트 등입니다.
REKT 및 RugPull 사건의 손실 비율은 각각 16.89% 및 1.37%이며, 기타 보안 사건의 손실 비율은 21.66%입니다.
사례 분석
5월 15일, Sonne Finance가 공격을 받아 약 2천만 달러의 손실을 입었습니다. 그 원인은 프로토콜이 투표를 통해 새로운 VELO 시장을 추가했지만, 프로젝트 측이 VELO 시장에 초기 자금을 제때 추가하지 않아 해커가 고전적인 반올림 문제를 이용해 VELO 시장의 담보 비율을 조작하여 이익을 얻었기 때문입니다.
OKLink는 해당 주소에 # Hack 태그를 붙였습니다:
https://www.oklink.com/zh-hans/optimism/address/0xae4a7cde7c99fb98b0d5fa414aa40f0300531f43
공격 프로세스
1) 공격자는 공격 계약 0xa78 aef를 호출하여 soVELO 시장에 초기 예치를 하여 2 WEI의 soVELO를 얻습니다;
2) 주요 공격 계약 0x02 fa26이 timelock 계약을 먼저 호출하여 담보 계수를 설정하여 soVELO 시장의 자산이 다른 시장 대출에 담보로 사용될 수 있게 합니다;
3) 약 35M VELO를 플래시 론으로 빌리고 so VELO 시장 계약에 기부하여 환율을 조작합니다. 2 WEI의 so VELO는 대량의 VELO를 대표하며, 또한 대량의 담보 가치를 나타냅니다;
4) 서브 공격 계약 0xa16388을 생성하고 2 WEI의 so VELO를 이체한 후 265 WETH를 대출하고 1 WEI의 so VELO를 사용하여 약 35M VELO를 상환합니다. 여기서는 조작된 환율을 이용하여 계산된 so VELO 수량이 약 1.9999 WEI가 되며, 반올림으로 인해 최종적으로 1 WEI가 됩니다;
5) 서브 공격 계약 0xa16388의 대출을 청산하여 1 WEI의 soVELO를 회수하고 이를 주요 공격 계약 0x02 fa26에 반환합니다. 이때 환율이 작아졌기 때문에 적은 양의 WETH로 1 WEI의 soVELO를 얻을 수 있습니다;
6) 1 WEI의 soVELO를 다시 민트하고 soVELO 시장에 기부하여 환율을 다시 조작하며, 위의 단계를 반복하여 더 많은 WETH, USDC 등의 자산을 대출합니다.
문제 코드:
최대 보안 사건 RugPull
5월 23일, 가짜 TON 토큰 프로젝트에서 RugPull이 발생하여 약 60만 달러의 손실이 발생했습니다.
최대 보안 사건 피싱 사기
5월 3일, 한 큰 고래 사용자가 피싱 공격을 받아 약 7천만 달러(1155 WBTC)의 손실을 입었습니다. 그러나 5월 10일, 해커는 90%의 자금을 피해자에게 반환했습니다.
최대 보안 사건 - 개인 키 유출
5월 21일, Gala Games가 공격을 받아 개인 키가 유출된 것으로 의심되며, 공격자는 50억 개의 GALA를 발행하여 약 2억 달러의 가치를 지니게 되었습니다. GALA 토큰을 판매하여 공격자는 최종적으로 약 2100만 달러의 이익을 얻었습니다. 5월 22일, 공격자는 모든 자산을 반환했습니다.
OKLink 보안 팁
이번 달 피싱 공격과 개인 키 유출 공격의 비율이 높습니다. OKLink는 여러분에게 개인 정보를 보호할 것을 상기시킵니다. 절대 누구에게도 개인 키나 니모닉을 공개하지 말고, 스크린샷 등의 방식으로 간단히 저장하지 마십시오. 또한 자금 이체 시 수신자 주소를 반드시 확인하고, 거래 기록이나 채팅 기록 등에서 주소를 직접 복사할 때 정확성을 확인해야 합니다. 보안 인식은 Web3 세계에서 가장 강력한 방패이며, 디지털 자산을 보호하는 첫 번째 방어선입니다.
