커버(Cover) - REKT

무한으로 생성되지만 윌리 웡카는 아닙니다 - 이것은 할리우드 전통적인 보험 테마 누아르입니다.

보험 계약의 흑백 결과는 할리우드의 스토리에 잘 어울립니다.

영화 이중배상(Double Indemnity) (1944)에서는, 보험이 착한 놈과 나쁜 놈 모두에게 동기를 제공하는 원동력입니다.

이 영화는 보험계약자의 사망이 우발적일 경우 두 배의 보험금을 지급한다는 생명보험 조항에서 이름을 따왔습니다.

이 조항의 결과, 보험 판매원이 그의 애인에 의한 살인계획에 말려들면서 반전을 낳게 되는데, 애인은 그가 그녀의 남편을 죽이고, 우발적인 사고로 위장하여 보험금을 타서 이익을 얻기를 원했습니다.

어떤 것도 액면 그대로 받아들이지 마세요. DeFi 이야기는 간단한 경우가 거의 없습니다. 익명성과 결합성은 음모가 발생할 수 있는 완벽한 환경입니다; 한 번의 사건에서 이익을 얻을 수 있는 방법은 여러 가지가 있으며, 이는 곧 똑똑한 플레이어가 항상 가장 명백한 보상을 받지 않는다는 것을 의미합니다.

940만 달러가 도난당했으나, 그중 320만 달러가 회수되고 620만 달러는 여전히 도난된 상태입니다.

커버 (이전 이름은 SAFE)는 무한 생성 허점이 밝혀져 공격당한 이후 약 ~90% 폭락하였고, 유통량이 84,477 에서 40,796,131,214,802,600,000로 4.8경 퍼센트 증가하였습니다.

허점이 수정되기 전에 여섯 개의 서로다른 주소에서 COVER를 생성했습니다. 일부는 자금을 그냥 보유하였고, 일부는 그러지 않았습니다.

허점을 사용한 여섯 개의 주소 중, 이전에 알려지지 않았던그랩 파이낸스(Grap Finance)가 가장 관심을 끌었는데, 그들이 스스로를 "화이트 햇"이라고 칭하며 무한 생성된 COVER를 매도하여 ETH를 매수하고 대담한 메시지를 전달했기 때문입니다.

코드는 법입니다만, 허점은 존재합니다 - 우리는 공격자 등에 올라타 이득을 볼 수 도있지만, 사실 이러한 경우는 간단해보여도 드물게 발생한다는 사실을 알고 있습니다.

$COVER를 커버하고 있던(책임지고 있던) 사람은 누구였을까요? 저희는 이를 알아보기 위해 언더커버(잠복수사)를 시작했습니다.

Rekt OPSEC

첫 공격은 한 명의 공격자에 의해 네 가지 과정으로 진행되었으나, 허점이 대중에게 공개된 이후, 상황은 더욱 복잡해지고 다른 지갑들이 이 과정을 따라하기 시작했습니다.

다음의 타임라인은 커버의 공식 사후 보고서에서 가져온 것이며, 더 자세한 분석을 위해서는 @vasa_dev님이 단계별로 작성해주신문서를 참고해주시기 바랍니다.

공격자 1의 타임라인

2020년 12월 28일 04:09:27 AM +UTC

• 새로운 Balancer 풀이 새로운 커버리지 만기 설정을 위해 팀의 멀티시그 트랜잭션을 통해 블랙스미스 컨트랙트에 추가되었습니다.

2020년 12월 28일 08:08:12 AM +UTC

• 공격자는 컨트랙트에 1,326,880 BPT 토큰을 최초로 입금합니다.

2020년 12월 28일 at 08:11:16 AM +UTC

• 같은 공격자는 이후에 withdraw()를 호출하여, ~703.64 $COVER 컨트랙트를 공격하고 1,326,878.99 BPT를 출금하였습니다.

2020년 12월 28일 08:47:15 AM +UTC

• 공격당한 토큰의 최초 매도는 이곳에서 확인하실 수 있습니다. 같은 시간에 다른 여러 계정이 똑같이 허점을 악용하여 그들의 $COVER를 시장에 매도하고 있었습니다.

2020년 12월 28일 09:18:28 AM +UTC

• 공격자는 공격 벡터가 남아있을 동안 생성을 지속하였습니다.

공격자 1은 사용자 자금에서 약 440만 달러 상당을 훔쳤고 이 주소로 전송하였습니다.

공격자 1이 3년 동안의 거래 내역을 가지고있고, KYC를 해야하는 거래소의 계정과 같은 낮은 수준의 OPSEC을 사용한 것으로 보아, 허점은 우연히 발견되었던 것 같습니다. 일부는 이미 공격자의 신원을 알고있어 그가 자금을 되돌려주기를 권유하고 있습니다.

전통적인 DeFi 이야기의 반전과 같이, 최초 공격자는 "화이트 햇" 역할을 할 기회를 거절한 그랩 파이낸스에 비해 주목을 덜 끌었습니다.

그랩 파이낸스 타임라인

2020년 12월 28일 11:54:47 AM +UTC

• 그랩 파이낸스: 디플로이어 (외부에서 소유한 계정)가 (DAI/Basis 풀)에 15,255.552810089260015362 BPT를 블랙스미스 파밍 컨트랙트로 입금합니다.

2020년 12월 28일 11:58:04 AM +UTC

• 그랩 파이낸스: 디플로이어가 블랙스미스 파밍 컨트랙트의 잔고로 1wei만 남기고 15,255.552810089260015361 BPT(DAI/Basis 풀)를 출금합니다.

2020년 12월 28일 11:58:56 AM +UTC

• 또 다른 사용자가 그의 계정 잔고 대부분 (1,007.599009946121991627 BPT)을 블랙스미스에서 출금합니다. 이제 그랩 파이낸스는 쉴드 마이닝 블랙스미스 컨트랙트에 정확히 1wei로 홀로 모든 유동성을 가지고 있습니다.

2020년 12월 28일 12:00:21 PM +UTC

• 그랩 파이낸스: 디플로이어가 블랙스미스 파밍 컨트랙트에 15,255.552810089260015361 BPT(DAI/Basis 풀)를 다시 입금합니다..

2020년 12월 28일 12:02:04 PM +UTC

• 그랩 파이낸스: 디플로이어가 보상을 클레임하고, 잔고가 1wei만 남아있는 것과 스토리지/메모리 문제가 합쳐져서 40,796,131,214,802,500,000.212114436030863813 $COVER가 생성 되었습니다.

2020년 12월 28일 12:29:03 PM +UTC

• 그랩 파이낸스: 디플로이어가 가능한 많은 양의 토큰을 여러 번의 트랜잭션들을 통해 1inch.exchange에서 매도하기 시작합니다.

2020년 12월 28일 12:59:27 PM +UTC

• 그랩 파이낸스: 디플로이어가 생성된 토큰들을 소각합니다.

2020년 12월 28일 at 01:41:01 PM +UTC

• 그랩 파이낸스: 디플로이어가 디플로이어 계정에서 $COVER를 매도하여 뽑아낸, 총 공격 피해 금액의 약 34% (940만 달러 상당)에 달하는 4351 (1 + 4350) ETH를 전송합니다.

커버측의 커버리지

커버 프로토콜은 공격받은 사실을 공식적으로 발표하기 까지 6시간이 걸렸습니다.

팀은 여전히 이번 사건을 분석중입니다. 공격은 더이상 불가능합니다.

$COVER토큰을 구매하지마시고, 스시스왑의 COVER/ETH 풀에서 유동성을 제거해주세요.

CLAIM/NOCLAIM 발렌서 풀은 영향을 받지 않았습니다

공격 이후 8시간이 지나서, 커버 프로토콜은 영향을 받은 유저들에게 보상할 계획을 발표하였습니다.

여러분 안녕하세요, 저희는 무한 생성 허점이 악용되기 이전의 스냅샷을 통해 새로운 $COVER 토큰을 제공해드리려합니다. 공격자들로부터 돌려받은 4350 ETH도 스냅샷을 통해 LP토큰 보유자들에게 돌려드릴 것입니다. 저희는 여전히 조사중입니다. COVER를 절대 매수하지 마세요

“이미 죽은 것은 영원히 죽을 수 없다” 라는 사실은 DeFi에서 더 적나라하게 드러나는 것 같습니다. 커버 프로토콜 토큰은 공격에 영향을 받은 사용자들에게 환불해주기 위해 벌써 네 번째 새롭게 발행될 예정입니다.

SAFE - SAFE2 - COVER - $RECOVER?

끈기가 있는 것은 어느정도 선까지는 칭찬할만하지만, 과연 그 선은 어디까지 일까요?

몇몇 독자분들께서는 아마도 @azeemfi 와 @chefcoverage 이 안좋은 결정을 내려서 SAFE에서 커버 프로토콜로 리브랜딩 했었던 모든 역사를 기억하실 것입니다. 그들은 SAFE이후에 SAFE2를 런칭했고, 우리가 오늘날 알고있는 COVER로 바꾸었습니다.

커뮤니티가 그들에게 네번째 기회를 줄까요?

그랩 파이낸스는 YAM의 포크입니다 - 그들은 DeFi 여름 시즌에 의미있는 것을 제공하지 못하였고, 그들 스스로를 화이트 햇이라 부르며 사람들의 이목을 이끌 기회를 잡아, 하루만에 수천명의 팔로워를 얻었습니다.

그들이 이 새로운 발견으로 무엇을 할지는 두고 볼 일입니다.

그랩 파이낸스의 일반적이지 않은 행동은 본인들의 지갑을 최근 7일 동안의 잔고 변화량 상위 5등안에 들게 만들었습니다.

그들은 나쁜 평판은 없다고 말하며, 이는 다음 차트를 통해 확인될 것으로 보입니다 - 공격 당일 COVER의 고유 주소가 1,778개 증가했는데, 이는 떨어지는 칼날을 잡으려는 기회주의 트레이더로 인한 것으로 보입니다.

혹자는 이것이 내부자가 작업을 하려다가 뭔가 잘못된 것이었다고도 말합니다.

아마도 공격자는 신상이 파헤쳐져서 자금은 가지고있기에 부담스러워, 자금을 반환하고 홍보로서 대신 수익을 얻으려고 했는지도 모릅니다.

저희는 이러한 루머가 팩트에 기반한다고 주장하지는 않지만, 그날의 사건이 이런 공지사항을 내놓게 만들게 된것을 보면, 이런 생각들이 왜 나오게되었는지가 쉽게 짐작됩니다.

순수한 우연은 질문거리도 되지 않습니다, 이것은 반칙이거나 간절함입니다. MXC가 가십을 바탕으로 토큰을 상장했다면 분명 어려운 시기에 빠졌을 것입니다.

“구원자” 토큰의 24시간 거래대금을 $236에서 작성 당시 $5,458,084까지 올리며 가격을 몇 천 퍼센트 펌핑시키는 것으로 보아, 크립토 트위터들의 위험 선호가 매우 높다는 것이 증명됩니다.

Emiliano Bonassi는 다음과 같은 말씀을 남기셨습니다:

기술적인 부분을 차치하면, 이번 사건은 생태계가 얼마나 결속력있고 지원에 관대한지를 보여줍니다.

우리는 취약하지 않습니다.

_저는 이벤트 후에 새로운 커버가 등장할 뿐만 아니라, 생태계에서의 안전과 신속한 대응을 보증하는 집합체가 될 것이라고 확신합니다.-아마 WhiteHack 그룹일 것입니다.

피(Blood)는 큰 비용입니다. DeFi 보험 시장은 안쓰러운 상황에 놓였습니다.

처음 NXM 부터 이번에는 커버까지. 프로토콜이 영향을 받았든 받지 않았든, 우리가 당신에 대한 기사를 써야 한다면, 당신의 프로젝트에 대한 사용자의 신뢰는 이미 없는 것입니다.

DeFi 보험은 완전히 포괄적이어야합니다. 신의 행위는 여기에서 일어나지 않습니다.

안전하지 않은 프로토콜은 높은 보험료를 지불하는 반면, 다른 프로토콜은 무청구 보너스를 구축하기 위해 열심히 노력합니다.

COVER는 4시간동안 40배 하락했고, 그 와중에 $GRAP은 40배가 올랐습니다.

“수익을 본것은 없습니다”라고 스크린 뒤에서 말하는 그랩 팀은, 반만 사실인 허풍스러운 이야기를 하고있습니다.

하얀색으로 칠해진 검은 모자는 수많은 혐의 속에서 오래가지 못할 것입니다.

조사는 계속 됩니다...

REKT는 익명 작성자들에 의한 공공 플랫폼이며, REKT에 작성된 관점이나 내용에 대해서 그 어떤 책임도 지지 않습니다.

기부 (ETH / ERC20): 0x3C5c2F4bCeC51a36494682f91Dbc6cA7c63B514C

disclaimer:

REKT는 당사 웹 사이트의 익명의 작성자 또는 REKT에 의해 게시되거나 관련된 서비스에서 게시되는 콘텐츠에 대해 어떠한 책임도 지지 않습니다. 당사는 익명 작성자들의 행동 및 게시물에 대한 규칙을 제공하지만, 익명의 작성자가 웹 사이트 또는 서비스에 게시, 전송 혹은 공유한 내용을 통제하거나 책임지지 않으며, 귀하가 웹 사이트 또는 서비스에서 직면할 수 있는 불쾌함, 부적절함, 음란함, 불법 또는 기타 해로운 콘텐츠에 대해서도 책임을 지지 않습니다. REKT는 당사 웹 사이트 또는 서비스 사용자의 온라인 또는 오프라인 행위에 대한 책임을 지지 않습니다.