Rekt News 제공

편집자: TechFlow

여기를 클릭하면 1,300만 달러를 잃게 됩니다.

Venus Protocol의 고래 중 한 마리가 Zoom 통화 비용이 주택담보대출보다 더 비쌀 수 있다는 사실을 어렵게 깨달았습니다.

악의적인 비디오 클라이언트, 완벽한 타이밍의 서명, 그리고 1,300만 달러가 엉뚱한 발표보다 더 빨리 사라졌습니다.

하지만 반전은 있습니다. 비너스는 ​​그저 사용자들이 돈을 잃는 것을 지켜보기만 하지 않았습니다.

그들은 자체 프로토콜을 종료하고, 긴급 투표를 소집했으며, 12시간도 안 되는 시간에 DeFi에서 가장 논란이 많은 구조 작업 중 하나를 수행했습니다.

겉보기에 평범한 피싱 공격으로 시작된 것이 분산형 프로토콜이 모든 것을 다 이룰 수 있는지에 대한 흥미로운 마스터클래스로 바뀌었습니다.

고래를 구한다는 것이 프로토콜에 숨겨진 킬 스위치를 노출시키는 것을 의미한다면, 실제로 구해지는 사람은 누구인가?

출처: Peckshield, Venus Protocol, Blocksec, Kuan Sun

9월 2일 오전 9시 5분(UTC), Venus Protocol 고래가 Zoom 클라이언트를 출시하여 DeFi 사업의 새로운 하루를 시작할 준비를 마쳤습니다.

하지만 겉보기에 무해해 보이는 비디오 소프트웨어가 조용히 침해당해 공격자는 전체 장치에 백도어 접근 권한을 얻게 되었습니다.

왜 암호를 해독해야 하죠? 그냥 신뢰를 깨는 게 더 쉽지 않을까요?

피해자는 위임 승인 거래에 서명했습니다. 이는 DeFi에서 하루에 수천 번씩 발생하는 일상적인 허가 작업입니다.

개인 키를 건드리지 않고도 자신의 위치를 ​​관리할 수 있는 계약입니다. 이러한 계약은 일반적으로 서비스 약관을 읽는 것보다 서명하는 것이 더 빠릅니다.

클릭. 서명. 즉시 청산.

서명부터 재정적 파탄까지, 단 6초면 충분합니다.

침해된 비디오 클라이언트는 1,300만 달러 상당의 지갑 관리를 공격자에게 넘겼고, 공격자는 기회를 인내심 있게 기다렸습니다.

대부분의 피싱 사례는 여기서 끝납니다. 고래가 다치고, 공격자가 사라지고, 트위터에서 일주일 동안 피해자를 조롱하는 거죠.

하지만 이번에 도둑들의 계획은 단순한 '강도'보다 훨씬 더 야심적이었습니다.

수백만 달러를 훔치는 것만으로는 충분하지 않다면 무슨 일이 일어날까요?

도난 작전

09:05:36 UTC. 고래가 "암호화폐 자살 계약"에 서명한 지 불과 6초 만에, 공격자는 플래시 대출이라는 걸작을 출시했습니다.

취약한 트랜잭션: 0x4216f924ceec9f45ff7ffdfdad0cea71239603ce3c22056a9f09054581836286

Venus Protocol의 사후 분석에서는 공격자의 전략을 자세히 설명했습니다.

1단계: 플래시 대출 285.72 BTCB — 결국, 왜 자기 돈을 써야 할까요? DeFi를 이용하면 담보 없이 수백만 달러를 빌릴 수 있습니다.

2단계: 빌린 돈을 사용하여 피해자의 기존 부채를 ​​갚고, 공격자 자신의 계좌에서 21 BTCB를 추가로 인출합니다. 이는 관대한 것처럼 보일 수 있지만, 실제로는 냉혈한 "회계 살인"입니다.

3단계: 위임된 권한을 활성화합니다. 피해자의 모든 디지털 자산(1,980만 달러 상당의 vUSDT, 715만 달러 상당의 vUSDC, 285개의 BTCB, 그리고 기타 여러 토큰 포함)을 이체합니다. 6초 전 "순진한" 서명이 이를 승인했기 때문에 이 모든 것은 완전히 합법적입니다.

4단계: 대박. 공격자는 새로 훔친 자산을 담보로 피해자의 남은 BNB를 담보로 714만 달러 상당의 USDC를 빌렸습니다. 공격자는 지갑을 비웠을 뿐만 아니라 피해자에게 "도난"에 대한 대가를 치르게 했습니다.

5단계: 플래시 대출금을 상환할 만큼의 BTCB를 대출합니다. 거래가 완료되고 공격자는 사라집니다.

자동화된 거래 한 건, 텅 빈 고래 한 마리, 그리고 매우 만족한 암호화폐 도둑 한 명 - 그들은 다른 사람의 평생 저축을 자신의 모기지 장난감 농장으로 바꿔버린 것입니다.

그러나 탐욕은 종종 사냥꾼을 사냥감으로 만든다.

"완벽한 도둑질"이 "자살 작전"으로 바뀌면 무슨 일이 일어날까?

대책

09:09 UTC. 디지털 은행 강도 사건이 발생한 지 4분 후, 헥사게이트와 하이퍼네이티브의 감시 시스템이 경보를 울리기 시작했습니다.

이는 일반적인 "의심스러운 거래가 감지되었습니다"라는 메시지가 아닙니다.

1,300만 달러 규모의 5단계 사건이었고, 보안 회사는 누구에게 연락해야 할지 즉시 알았습니다.

비너스 프로토콜의 대응은? 핵 옵션이다.

도난부터 프로토콜 정지까지 걸린 시간은 단 20분뿐이었습니다. 비너스는 ​​자체 킬 스위치를 작동시켜 전체 생태계의 핵심 기능을 모두 마비시켰습니다.

대출? 중단. 인출? 종료. 청산? 일시 정지.

한 사용자가 피싱을 당했고 전체 프로토콜이 중단되었습니다.

이건 단순한 위기 관리가 아니라 재정적인 싸움이에요.

비너스는 공격자로부터 도난당한 상품을 훔치기 위해 플랫폼을 결정적으로 제한했습니다.

해커가 보유한 모든 vToken은 즉시 가치 없는 종이로 전락하여 Venus의 긴급 허가 하에 잠겼습니다.

하지만 고래를 구하기 위해 DeFi 프로토콜 전체를 동결해야 할까요? 그런 결정은 개발팀 혼자서 내릴 수 있는 것이 아닙니다.

그래서 민주주의가 도입됩니다. 즉, 긴급 통치 투표가 이루어지는 것입니다.

커뮤니티가 중앙화된 수단을 통해 사용자의 재산을 저장할지 여부를 결정하는 데 단 12시간밖에 주어지지 않는다면, 그것을 실제로 분산화라고 부를 수 있을까요?

번개 민주주의

비너스는 프로토콜을 중단했을 뿐만 아니라, Web2 위기 관리팀이 부러워할 만한 긴급 "온라인 회의"를 소집했습니다.

그들은 그것을 "플래시 투표"라고 불렀습니다.

결국, 수백만 달러 규모의 결정을 Discord에서 몇 시간에 걸친 열띤 토론으로 압축해내는 것만큼 "풀뿌리 거버넌스"를 잘 표현하는 것은 없습니다.

제안은 간단하고 명확합니다.

1단계: 기능의 부분적 복구(사용자가 청산을 피할 수 있음)

2단계: 공격자의 위치를 ​​강제로 청산합니다.

3단계: 유사한 사고가 다시 발생하지 않도록 포괄적인 안전 검토를 실시합니다.

4단계: 금성의 활동을 완전히 복구합니다.

지역 사회의 반응은? 100% 만장일치로 찬성했습니다.

99%도 아니고, 98%도 아니고.

모든 투표는 북한 선거 결과의 DeFi 버전처럼 Venus의 행동 계획을 지지합니다.

어쩌면 이게 진짜 합의일 수도 있고, 아니면 자기 방어적인 의도일 수도 있다.

아니면 당신의 프로토콜이 수백만 달러의 손실을 입히고 경쟁자들이 독수리처럼 몰려들 때, 의견 불일치는 누구도 감당할 수 없는 사치가 됩니다.

오후에는 비너스가 승인을 받았습니다.

이어서 DeFi 역사상 가장 논란이 많은 청산 작업 중 하나가 실행되었습니다. 스마트 계약 규칙을 우회하고 공격자의 담보를 강제로 압류해야 하는 작업이었습니다.

피해자들은 잘못된 거래 서명으로 인해 위험에 처해 있으며, 비너스는 ​​"민주주의의 사망 증명서"에 서명하려고 합니다.

"코드가 곧 법"이라는 말이 비상 권한과 결합되면 무슨 일이 일어날까?

복구 작업

도난 사건 발생 12시간 후인 21시 36분 UTC에 비너스는 ​​반격을 감행했습니다.

공격자가 저지른 그 탐욕스러운 실수를 기억하십니까? 훔친 자금을 담보로 사용한 것은 역사상 가장 큰 손실을 초래하는 실수가 될 것입니다.

하나의 거래, 여러 개의 지시가 가장 큰 논란을 불러일으켰습니다.

청산: 시작됨. 자산 압류: 완료됨. 청산: 종료됨.

비너스는 라이브 블록체인에 수술을 감행하고, 킬 스위치를 작동시키고, 잠금 해제된 모든 자산을 압수하고, 모든 증거를 파기했습니다.

공격자의 "걸작"은 결국 그들 스스로에게 사형 선고를 내렸습니다. 도난당한 담보는 비너스의 수영장에 안전하게 보관되어 있었을까요?

갑자기, 이 협정에 따라 새롭게 활성화된 "긴급 청산" 권한이 정당한 이용 대상이 되었습니다.

탐욕은 독이다. 수백만 달러를 훔쳐 담보로 삼은 후, 훔친 돈으로 청산되는 것이다.

21:58 UTC. 조명 복구됨. 자금 회수됨. 위기 해결됨.

하지만 1,300만 달러의 손실에 대해서는 더 이상 아무도 이야기하지 않았습니다. 오히려 비너스가 그 12시간 동안 "탈중앙화"가 마케팅 슬로건에 불과하다는 것을 어떻게 증명했는지에 대한 논의가 오갔습니다.

멈출 수 없는 DeFi 프로토콜에는 매우 멈출 수 없는 비상 브레이크가 있는 것으로 밝혀졌습니다. 비용이 충분히 높아지면 주저하지 않고 이를 사용합니다.

혁명이 그것을 유지할 왕이 필요할 때, 누가 전복되었는가?

피해자들이 목소리를 낸다

"말하는 것보다 침묵하는 것이 낫고, 모든 의심을 없애는 것이 낫습니다. 비록 당신이 바보로 여겨질지라도요."

이는 유레카 크립토의 창립자이자 1,300만 달러의 도난 피해를 입은 쿠안 선의 트위터 프로필입니다.

"어리석음"에 대해 말하자면, 그는 자신이 어떻게 속았는지 정확히 설명하는 자세한 회고록을 출판했습니다.

비너스 프로토콜 역시 자신이 피싱 공격의 피해자라는 사실을 확인했습니다.

이런 종류의 사회 공학은 매우 사악합니다.

공격자들은 올해 4월, Sun Kuan이 홍콩에서 열린 컨퍼런스에서 만난 "Stack Asia BD" 연락처를 해킹하면서 작전을 시작했습니다.

수개월에 걸쳐 끈기 있게 준비하고, 친밀하지만 지나치게 친밀하지 않은 관계를 통해 신뢰를 구축한 덕분에 공격자는 이미 자신의 장치에 접근할 수 있었습니다.

가짜 회의 중: "마이크가 작동하지 않습니다. 업그레이드하세요." 이는 공격자의 작업을 백그라운드에서 숨기는 또 다른 다층적인 사기 수법입니다.

그런데 Chrome이 예기치 않게 다운되었습니다. "탭을 복원하시겠습니까?"를 클릭하세요.

어떻게 된 일인지, 그가 신뢰하던 Rabby Wallet 확장 프로그램이 모든 보안 경고를 제거한 가짜 버전으로 바뀌어 있었습니다.

비너스는 전에 수천 번이나 했던 것처럼 돈을 인출했습니다.

하지만 이번에는 위험 경고, 시뮬레이션된 거래 미리보기, 보안 점검 등이 전혀 없었습니다. 손상된 프런트엔드는 승인 작업을 정상적인 거래로 위장했습니다.

하드웨어 지갑은 중요하지 않습니다. Rabby의 보안 기능도 중요하지 않습니다. 프런트엔드가 감염되면 아무리 강력한 보안 설정이라도 허황된 보안 감각만 심어줄 뿐입니다.

더욱 심각한 것은 피해자들의 기억에 따르면 이 공격은 수년간 암호화폐 분야에서 테러 활동을 수행해 온 북한의 엘리트 해킹 그룹인 라자루스 그룹이 자행한 것으로 추정된다는 점입니다.

이번에는 신참에게 유혹당한 것이 아니라, 이미 이 공격 과정을 완벽하게 익힌 국가 수준의 디지털 전쟁 전문가에게 정확히 패배했습니다.

그는 현재 Venus Protocol, PeckShield, SlowMist, Chaos Labs, Hexagate, HyperactiveLabs, Binance 등 자신의 자금을 회수하는 데 도움을 준 사람들에게 감사를 표하고 있습니다.

개인적 이득이 걸려 있을 때는 스스로의 규칙을 어길 의향이 있는 의정서 덕분에 행복한 결말이 이루어졌습니다.

세계에서 가장 정교한 해커가 하드웨어 지갑과 보안에 민감한 사용자를 사기할 수 있는 상황에서 DeFi에서 정말 안전한 사람이 있을까요?

단 한 번의 거래로 비너스는 ​​고래들을 구하고 분산화의 꿈을 산산조각 냈습니다.

12시간 동안 조직적인 혼란이 벌어진 결과, 모든 소위 "분산화된" 프로토콜 뒤에는 거버넌스 메커니즘으로 가려진 중앙화된 "패닉 버튼"이 있다는 사실이 드러났습니다.

물론, 커뮤니티는 투표를 했습니다. 하지만 가스 요금에 대한 Discord 논쟁보다 더 빠르게 100% 합의에 도달했을 때, 당신은 민주주의의 가장 위대한 마술을 목격한 셈입니다. 즉, 폭정을 집단 의사 결정처럼 보이게 만드는 것입니다.

공격자들은 빈손으로 남겨졌고, 고래들은 부를 회복했으며, 비너스는 ​​엄청난 디지털 압력에 직면했을 때 언제든지 자신의 코드를 뒤집을 수 있음을 보여주었습니다.

임무는 완수했지만, 명예는 훼손되었습니다.

진짜 비극은 누군가가 Zoom 피싱 사기에 속았다는 사실이 아니라, 우리가 여전히 비상 권한이 있다고 주장하는 프로토콜이 그 프로토콜이 대체한다고 주장하는 기존 금융 시스템과 근본적으로 다르다는 사실입니다.

분산화가 불편해지면 사라진다면, 분산화는 실제로 존재한 적이 있었을까?