Agave DAO, 헌드레드 파이낸스 - REKT

두 개의 포크가 같은 운명을 맞이했습니다.

Agave DAO, (에이브(Aave)의 포크), 그리고 헌드레드 파이낸스, (컴파운드의 포크), 는 모두 재진입 공격의 피해자가 되었습니다.

2116 ETH ($550만 달러 상당) 이 Agave에서, 2363 ETH ($620만 달러 상당)이 헌드레드 파이낸스에서 도난당하여, 총 1170만 달러 상당이 익명의 공격자에게 도난당했습니다.

이것은 Gnosis (xDai) 체인에서 발생한 최초의 공격이며, 두 개의 프로토콜이 이렇게 직접적으로 동시에 목표가 된 것도 처음입니다.

하지만, 현재 DeFi의 구조들을 고려해보았을 때 동시에 피해가 발생한 것은 별로 놀랍지 않습니다.

포크를 포킹하는 것은 불안정합니다. 코드의 복사 붙여넣기가 계속된다면, 예상치 않은 곳에서 취약점이 발생할 수 있습니다.

하나의 포크가 무너지면, 다른 모든 것들도 그 기반을 다시 확인해봐야 합니다.

Credit: Daniel Von Fange 그리고 Mudit Gupta

공격은 xDAI 토큰이 재진입 취약성이 있는 callAfterTransfer() 기능을 가지고 있도록 디자인되어있어서 발생했습니다.

플래시 론을 최초 담보로 사용하여, 공격자(들)은 대출 기능 내부에서 대출 기능을 다시 시행함으로써, 프로토콜이 부채 자산을 업데이트하기 전에 대출 금액을 증가시킬 수 있었습니다. 그리고 이 과정을 반복함으로써 제공된 담보보다 훨씬 더 많은 자산을 대출받을 수 있었습니다.

공격 방식은 작년 8월에 1880만 달러가 도난당했던 크림 파이낸스와 동일합니다.

Agave DAO

공격 tx (2022년 3월 15일 11:25:40 AM +1 UTC)

도난당한 자산은 공격자의 ETH 주소로 보내졌고, 몇 시간 후 2116 ETH ($550만) 가 토네이도 캐시로 전송되었습니다.

헌드레드 파이낸스

공격 tx (2022년 3월 15일 11:28:40 AM +1 UTC)

도난당한 자산은 공격자의 ETH 주소 몇 시간 후 2363 ETH ($620만) 가 토네이도 캐시로 전송되었습니다.

HND의 가격이 생각보다 뉴스에 많은 영향을 받지 않은 것에 반해, AGVE은 20% 넘게 폭락하였습니다.

포킹 이후 코드를 일부 수정하였다면 보안이 강력한 코드를 포킹 했다고 하더라도 안심할 수 없습니다. 새로운 환경의 기이함은 항상 새로운 위협을 가져오게 되기 때문입니다.

이번 사건에서는, 이더리움에서 프로토콜을 포팅 했을 때 고려되지 못한 숨겨진 위험성이 Gnosis (xDai) 디자인에 내포되어있었기에 발생하였습니다.

두 프로젝트 모두 튼튼한 프로토콜 (에이브와 컴파운드)을 포킹 하였지만, 기존의 프로젝트들은 토큰들이 재진입 취약점을 통해 담보로 사용되는 것을 막기 위해 엄격하게 관리되고 있었습니다. 추가적으로, Mudit Gupta님이 지적하셨듯이, “checks-effects-interactions pattern”은 이러한 공격을 막을 수 있는 또 다른 방법이었습니다.

리더보드 (#35)에 또 새로운 프로젝트가 이름을 올렸고, 이번에도 어려운 방식으로 배울 수 있었습니다.

REKT는 익명 작성자들에 의한 공공 플랫폼이며, REKT에 작성된 관점이나 내용에 대해서 그 어떤 책임도 지지 않습니다.

기부 (ETH / ERC20): 0x3C5c2F4bCeC51a36494682f91Dbc6cA7c63B514C

disclaimer:

REKT는 당사 웹 사이트의 익명의 작성자 또는 REKT에 의해 게시되거나 관련된 서비스에서 게시되는 콘텐츠에 대해 어떠한 책임도 지지 않습니다. 당사는 익명 작성자들의 행동 및 게시물에 대한 규칙을 제공하지만, 익명의 작성자가 웹 사이트 또는 서비스에 게시, 전송 혹은 공유한 내용을 통제하거나 책임지지 않으며, 귀하가 웹 사이트 또는 서비스에서 직면할 수 있는 불쾌함, 부적절함, 음란함, 불법 또는 기타 해로운 콘텐츠에 대해서도 책임을 지지 않습니다. REKT는 당사 웹 사이트 또는 서비스 사용자의 온라인 또는 오프라인 행위에 대한 책임을 지지 않습니다.