Zero Hour Technology의 월간 보안 이벤트 하이라이트가 시작되었습니다! 일부 블록체인 보안 위험 모니터링 플랫폼의 통계에 따르면, 2025년 1월 취약점, 해커, 사기로 인한 손실은 약 9,800만 달러에 달했으며, 28건의 암호화폐 해킹 공격이 발생했는데, 그 중 약 800만 달러가 피싱으로 인한 것이었습니다. 하지만 2024년 1월의 1억 3,300만 달러 손실과 비교하면 44.6% 감소한 것입니다. 이는 2024년 12월의 2,358만 달러 손실에 비해 56% 감소한 수치입니다.
해커 공격
7가지 대표적인 안전사고
(1) 1월 8일, Arbitrum의 DeFi 프로토콜인 Orange Finance 사용자로부터 80만 달러 이상이 도난당했습니다. 공격자는 프로토콜의 관리 키에 액세스하여 해당 키를 사용하여 프로토콜 계약에 대한 악의적인 업그레이드를 수행함으로써 프로토콜에 대한 유효한 토큰 승인을 받은 모든 사용자의 지갑을 훔쳤습니다.
(2) 1월 8일, 모비는 특정 프로토콜의 일부 LP 자산에 영향을 미치는 개인 키 유출 사고를 경험했습니다. 그들은 이것이 프로토콜의 스마트 계약과 관련된 보안 문제가 아니라 해커가 도난당한 프록시 개인 키를 사용하여 기존 스마트 계약을 업그레이드하는 것만으로 자금을 훔치려고 시도했다고 밝혔습니다. 마지막으로, tonykebot은 UUPS 구현의 보호 기능 부족을 이용해 성공적인 백해트 구조 작업을 수행하여, 이전에 온체인 옵션 프로토콜 Moby를 공격했던 해커들이 획득한 147만 USDC를 프로젝트 소유자에게 반환했습니다.
(3) 1월 13일, Zero Hour Technology Security Team의 모니터링에 따르면 EVM 체인의 UniLend가 공격을 받아 약 197,000달러를 손실했습니다. 이 취약점의 원인은 UniLend가 환매를 수행할 때 환매 금액을 계산할 때 이체해야 할 담보 금액을 차감하지 않아 잘못된 계산 후의 담보 금액이 공격자가 실제로 소유한 담보 금액보다 높아져 성공할 수 없는 환매가 성공적으로 완료되었기 때문입니다. 결국 공격자는 프로젝트의 stETH 토큰을 고갈시켰습니다.
자세한 공격 분석을 보려면 다음 링크를 클릭하세요.
(4) 1월 15일, 제로아워테크놀로지 프로젝트팀은 이더리움 체인 프로젝트 소라에 대한 여러 차례의 공격을 감지하였으며, 이로 인해 총 4만1000달러의 피해가 발생했습니다. 이 취약점이 발생한 원인은 Sorra 프로젝트에서 사용자가 보상을 인출할 때 이미 보상을 인출했는지 여부를 판단하지 못해 사용자가 많은 수의 작업을 통해 반복적으로 보상을 인출할 수 있었기 때문입니다. 공격자는 위의 취약점을 악용하여 여러 거래를 시작하고 Sorra 프로젝트의 모든 SOR 토큰을 인출했습니다.
자세한 공격 분석을 보려면 다음 링크를 클릭하세요.
(5) 1월 21일, Forta는 TheIdolsNFT에서 324,000달러 규모의 취약점을 감지했습니다.
(6) 1월 23일, 싱가포르 기반 암호화폐 거래소 페멕스의 핫월렛이 공격을 받아 약 7,000만 달러의 피해가 발생했다.
(7) 1월 24일 SlowMist 보안팀의 모니터링에 따르면 ODOS의 입력 검증 부족으로 인해 여러 체인에서 취약점이 악용되어 약 10만 달러의 손실이 발생했습니다. ODOS는 트윗을 통해 이번 공격은 감사된 실행자 계약의 취약점을 악용해 계약에 저장된 수익을 훔쳤지만 사용자 자금에는 영향이 없었다고 밝혔습니다.
러그 풀 / 피싱 사기
10가지 대표적인 보안 사고
(1) 1월 2일, 약 39배(196,396달러)의 토큰을 보유한 $VIRTUAL 보유자가 "한도 증가" 피싱 거래로 인해 모든 토큰을 잃었습니다.
(2) 1월 3일, $RLB 보유자 한 명이 "Uniswap Permit2" 피싱 서명으로 인해 약 100만 달러 상당의 토큰을 모두 잃었습니다.
(3) 1월 6일 0x5167로 시작하는 주소는 "할인 증가" 피싱 거래에 서명한 후 EIGEN에서 155,256달러 상당의 자금을 손실했습니다.
(4) 1월 7일, 0x8536으로 시작하는 주소는 “Uniswap Permit2” 피싱 거래에 서명한 후 103,020달러 상당의 토큰을 분실했습니다.
(5) 1월 8일, 0x3402로 시작하는 주소는 여러 피싱 서명에 서명한 후 $OLAS, $SEKOIA, $VIRTUAL, $FJO 등 474,422달러 상당의 자금을 잃었습니다.
(6) 1월 14일 0x00c0으로 시작하는 주소는 피싱 거래에 서명한 후 263,255달러 상당의 $VIRTUAL을 잃었습니다.
(7) 1월 17일 0x80dc로 시작하는 주소는 "라이센스" 피싱 서명 후 USUALUSDC+ 426,106달러 상당을 손실했습니다.
(8) 1월 20일, 0x1e70으로 시작하는 주소는 피싱 서명 "허용"에 서명한 후 135,068달러 상당의 WETH를 잃었습니다.
(9) 1월 22일, 0x3149로 시작하는 주소는 "송금" 피싱 거래에 서명한 후 553,045달러 상당의 $PAXG를 잃었습니다.
(10) 1월 29일, 0xeb2로 시작하는 주소는 "increaseApproval" 피싱 거래에 서명한 후 384,645달러 상당의 $LINK를 잃었습니다.
요약하다
1월에 암호화폐 피싱 사기로 9,220명의 피해자로부터 1,025만 달러가 도난당했으며, 이는 12월의 2,358만 달러 손실에 비해 56% 감소한 수치입니다. 그러나 범죄자들은 끊임없이 진화하고 더 정교한 공격 방법을 채택하고 있습니다.
Zero Hour 기술 보안팀에서는 프로젝트 소유자에게 항상 경계를 늦추지 말 것을 권고하며, 사용자에게는 피싱 공격에 주의할 것을 상기시킵니다. 사용자는 프로젝트에 참여하기 전에 프로젝트의 배경과 팀을 완전히 이해하고, 투자 프로젝트를 신중하게 선택하는 것이 좋습니다. 또한, 내부 보안 교육 및 권한 관리를 실시하고, 프로젝트 시작 전에 전문 보안 회사를 찾아 감사 및 프로젝트 배경 조사를 실시해야 합니다.
