버신 리포트: 2023년 상반기 Web3 블록체인 보안 상황 분석
원본 출처:
원본 출처:Beosin
머리말
머리말
글로벌 디지털화 프로세스가 지속적으로 가속화됨에 따라 신흥 분산형 거래 방법인 블록체인 기술은 점차 디지털 경제의 핵심 인프라 중 하나로 자리잡고 있습니다. 그러나 블록체인 적용 시나리오가 지속적으로 확장됨에 따라 직면하는 보안 위험도 점차 증가하고 있습니다. 이러한 맥락에서 Web3 블록체인의 보안 상황과 암호화 산업의 규제 정책을 이해하는 것은 블록체인 애플리케이션의 보안과 안정성을 보장하는 데 필요한 조치 중 하나가 되었습니다.본 연구보고서는 블록체인 보안업체인 Beosin과 SUSS NiFT가 공동으로 추진하는 블록체인 생태보안 연합이 공동 집필하였으며, 2023년 상반기 글로벌 블록체인 보안 상황과 Web3 핫스팟 이벤트, 블록체인 주요 규제 정책에 초점을 맞춰 작성되었습니다. 분석 및 요약은 독자들에게 귀중한 참고 자료와 영감을 제공하고 블록체인 기술의 안전하고 건전한 발전을 돕는 것을 목표로 합니다.
여기여기보기(6월 25일 기준 데이터)
1. 2023년 1분기 Web3 보안 상황 개요
2023년 상반기 해커 공격, 피싱 사기, 프로젝트 측 Rug Pull로 인한 Web3 분야의 총 손실액은 6억 5,561만 달러에 달했습니다.2023년 상반기 해커 공격, 피싱 사기, 프로젝트 측 Rug Pull로 인한 Web3 분야의 총 손실액은 6억 5,561만 달러에 달했습니다.이 중 공격 사건이 108건으로 총 손실액이 약 4억 7,143만 달러, 피싱 사기로 인해 총 손실액이 약 1억 800만 달러, 프로젝트 당사자의 러그 풀(Rug Pull) 사건이 110건으로 총 손실액이 약 7,587만 달러였습니다. .
Web3 분야 해킹사고 총 손실액은 지난해에 비해 크게 감소했다. 2022년 상반기 전체 공격 손실액은 약 19억1000만달러, 2022년 하반기에는 약 16억9000만달러, 2023년 상반기에는 그 가치가 4억7000만달러로 떨어진다.
공격받는 프로젝트 유형의 관점에서 보면,DeFi는 여전히 공격 빈도가 가장 높고 손실 규모도 가장 큰 유형입니다. DeFi 보안 사고 85건의 총 손실액은 2억 9,200만 달러에 달해 전체 손실액의 62%를 차지했다.
체인 플랫폼 유형의 관점에서 보면,손실의 75.6%가 이더리움에서 발생했으며 약 3억 5,600만 달러로 전체 체인 플랫폼 중 1위를 차지했습니다.
공격방식 측면에서 보면(근본 원인을 기준으로 한 통계) 가장 빈번하고 비용이 많이 드는 공격 방법은 계약 허점을 이용하는 것입니다. 60건의 계약 취약성 사고로 인해 2억 6,400만 달러의 손실이 발생했으며 이는 전체 손실의 56%를 차지합니다.
자본흐름의 관점에서 보면,도난당한 자산 중 약 2억 1,500만 달러가 회수되었으며 이는 전체 도난 자산의 45.5%에 해당합니다. 또 다른 약 1억 1,300만 달러의 도난 자산이 Tornado Cash 및 기타 믹서로 이전되었습니다.
감사의 관점에서 보면,공격을 받은 프로젝트 중 약 49%가 감사를 받지 못했습니다.
2022년 대비 해킹 사건 감소 추세와는 달리, 2023년 상반기에는 일반 사용자의 경우 피싱 사기, 프로젝트 파티 러그 풀 사건이 더 빈번하게 발생할 것으로 예상됩니다. 불완전한 통계에 따르면, 이 두 가지 유형의 사고와 관련된 총액은 최소 1억 8,400만 달러에 이릅니다. 피싱 문턱 기술의 감소로 인해(예: 일부 채널을 통해 피싱 조직으로부터 악성 툴킷을 구매하고, 수익을 얻은 후 수익을 공유하는 등), 2023년 상반기에는 피싱 사기 사건이 크게 증가하여 위협의 주요 원인이 될 것입니다. Web3 사용자의 보안.
보조 제목
108회 공격에 4억 7,143만 달러 비용 발생
2023년 상반기, 베오신 이글아이(Beosin EagleEye) 보안 위험 모니터링, 조기경보 및 차단 플랫폼은 Web3 분야에서 총 108건의 주요 공격을 탐지해 총 4억7143만 달러의 손실을 입혔다. 그 중 1억 달러 이상의 손실을 입은 보안 사고가 1건, 1천만~1억 달러 사이의 손실이 7건, 100만~1천만 달러의 손실이 발생한 보안 사고가 23건이었다.
손실액이 미화 1,000만 달러를 초과하는 공격(금액 기준):
● 오일러 파이낸스(Euler Finance) - 1억 9,700만 달러
3월 13일, DeFi 프로토콜인 Euler Finance가 공격을 받아 손실액이 1억 9700만 달러에 이르렀습니다. 4월 4일, Euler Labs는 성공적인 협상 후 공격자들이 훔친 자금을 모두 반환했다고 트윗했습니다.
● Atomic Wallet - 6,700만 달러
6월 3일, 여러 Atomic Wallet 사용자가 소셜 미디어에 자신의 지갑 자산이 도난당했다고 게시했으며, 통계에 따르면 도난당한 금액은 최소 6,700만 달러에 달했습니다. 해커들은 화폐 혼합 플랫폼 신바드(Sinbad)를 통해 훔친 자금을 정리했으며, 공격 원인은 아직 조사 중이다.
● MEV 공격 - 2,500만 달러
4월 3일에는 다수의 MEV 로봇이 악의적인 샌드위치 공격을 받아 총 약 2,500만 달러의 피해를 입었습니다.
● Bitrue - 2,400만 달러
지난 4월 14일 암호화폐 거래소 비트루(Bitrue)의 핫월렛이 공격을 받아 2,400만 달러의 피해를 입었습니다.
● FPG - 2천만 달러
6월 11일, 암호화폐 중개업체 부동소수점그룹(FPG)이 사이버 공격을 받아 암호화폐 가치 약 2천만 달러를 잃었습니다.
● GDAC - 1,300만 달러
4월 9일, 한국의 암호화폐 거래소 GDAC가 해킹을 당해 약 1,300만 달러의 손실을 입었습니다.
● Yearn Finance - 1,150만 달러
4월 13일 Yearn Finance의 yusdt 계약이 해킹당했고, 해커들은 천만 달러 이상의 수익을 올렸습니다.
● MyAlgo 지갑 - 1,120만 달러
지난 2월, MyAlgo 지갑은 중간자 공격을 받아 1,120만 달러의 손실을 입었습니다.
보조 제목
85건의 DeFi 보안 사고로 인해 2억 9200만 달러의 손실이 발생했습니다.
2023년 상반기에는 DeFi형 프로젝트에서 총 85건의 보안 사고가 발생해 전체 사고 건수의 78.7%를 차지했다. DeFi의 총 손실액은 2억 9,200만 달러에 달해 전체 손실액의 62%를 차지했습니다. DeFi는 공격 빈도가 가장 높고 손실 규모도 가장 큰 프로젝트 유형입니다.
85건의 DeFi 보안 사고 중 계약 취약점을 악용하여 발생한 보안 사고는 51건으로 총 DeFi 손실액의 85%에 해당하는 2억 4,900만 달러의 손실을 입었습니다.
지갑 공격 사건으로 인해 약 7,820만 달러의 손실이 발생했는데, 이는 모든 프로젝트 유형 중 두 번째로 큰 금액입니다. 이 중 Atomic Wallet 공격으로 인해 최소 6,700만 달러의 손실이 발생했으며, MyAlgo 지갑 공격으로 인해 1,120만 달러의 손실이 발생했습니다.
3위 프로젝트 유형은 거래소로 약 5014만 달러의 손실이 발생했다. 2022년 연간 데이터에서도 거래소 공격 사고는 손실액 3위를 기록했으며, 올해도 공격이 잦아지는 추세가 이어지고 있다.
크로스체인교량 프로젝트는 2022년 손실액(18억9000만달러) 1위를 기록했고, 2023년 상반기 손실액은 138만달러로 급감했다.
보조 제목
손실액의 75.6%가 이더리움에서 발생
2023년 상반기에는 이더리움 체인에서 총 27건의 주요 공격이 발생해 약 3억 5600만 달러의 손실을 입었습니다. 이더리움 체인의 손실량은 전체 체인 플랫폼 중 약 75.6%를 차지하며 1위를 차지하고 있습니다.
BNB 체인에서 가장 많은 공격 이벤트가 감지되어 58건에 이르렀고, 총 공격 이벤트 수가 전체 이벤트의 53.7%를 차지했습니다. BNB 체인에 대한 58건의 공격 중 공격받은 프로젝트 중 40건이 감사되지 않았습니다.
Arbitrum 체인에서는 총 7건의 공격이 발생하여 약 1,671만 달러의 손실이 발생했으며, 2022년과 비교하여 보안 사고 손실 금액과 건수가 증가했습니다(Arbitrum은 2022년 주요 보안 사고가 2건에 불과합니다).
2022년 솔라나 체인의 손실액은 전체 퍼블릭 체인 중 3위를 차지했으며, 2023년 상반기에는 대규모 공격이 감지되지 않았습니다.
보조 제목
계약 허점은 가장 빈번하게 악용되며 손실액도 가장 크다
* 참고: 여러 공격 방법이 공존하는 경우 근본 원인을 기준으로 분류됩니다. 정보가 충분하지 않거나 프로젝트 당사자가 발표하지 않은 이유가 있는 공격은 불분명으로 분류됩니다.
2023년 상반기 공격 원인이 가장 많고 손실도 가장 컸던 공격 방식은 계약 취약점을 이용한 공격이다. 60건의 계약 취약성 사고로 인해 2억 6,400만 달러의 손실이 발생했으며 이는 전체 손실의 56%를 차지합니다.
보안 사고 규모는 약 1억 달러, 아토믹 월렛(Atomic Wallet) 지갑이 6700만 달러에 도난당했고, 암호화폐 중개업체 FPG가 2000만 달러에 공격받는 등 공격 방법은 아직 명확하지 않다. 이러한 사고에는 막대한 금액이 수반되며 많은 사용자에게 영향을 미칩니다. 해당 프로젝트 당사자는 사건의 원인 조사에 있어 제3자 보안업체와 적극적으로 협력하고, 조사 결과를 적시에 공개하고, 필요한 복구 조치를 취하며, 사용자 자산의 보안에 대한 책임을 져야 할 것을 권고합니다.
이 밖에도 개인키 유출사고가 7건 발생해 약 2,767만 달러의 손실이 발생했다. 2022년에는 개인키 유출 손실도 전체 공격 유형 중 3위를 차지할 것으로 예상된다. 개인 키 유출은 프로젝트 당사자의 보안을 위협해 왔습니다. 일부 사건 공개로 볼 때, 핵심 구성원의 직업윤리 및 안전의식 관리를 강화하는 것이 특히 중요합니다.
취약성 유형별로 분류하면 가장 큰 손실을 초래하는 상위 3개는 비즈니스 논리 결함, 권한 문제 및 재진입입니다. 36개의 비즈니스 로직 취약점으로 인해 총 약 2억 3900만 달러의 손실이 발생했으며, 이는 계약 취약점 공격으로 인한 전체 손실의 90%를 차지합니다. 이런 취약점은 개발자들이 가장 간과하기 쉬운 문제로, 공격으로 인한 피해가 비교적 큰 경우가 많아 9건의 피해액이 100만 달러를 넘었다. 프로젝트 당사자는 경험이 풍부한 전문 감사 회사를 찾아 감사를 수행하는 것이 좋습니다.
6. 대표적인 사례의 공격방법 분석
6.1 오일러 금융 보안 사고
3월 13일, 이더리움 체인의 대출 프로젝트인 오일러 파이낸스(Euler Finance)가 플래시 대출 공격을 받아 1억 9700만 달러의 손실을 입었습니다.
3월 16일, 오일러 재단은 해커를 체포하고 훔친 자금을 돌려준 정보에 대해 100만 달러의 보상금을 제공했습니다.
3월 17일, 오일러 연구소(Euler Labs) CEO인 마이클 벤틀리(Michael Bentley)는 오일러는 항상 보안을 중시하는 프로젝트였다고 트윗했습니다. 2021년 5월부터 2022년 9월까지 Euler Finance는 Halborn, Solidified, ZK Labs, Certora, Sherlock 및 Omnisica를 포함한 6개 블록체인 보안 회사의 10번의 감사를 수락했습니다.
3월 18일부터 4월 4일까지 공격자들은 자금을 반환하기 시작했습니다. 해당 기간 동안 가해자는 체인 정보를 통해 다른 사람의 돈, 다른 사람의 일, 다른 사람의 생활을 방해했다며 사과하고 모두에게 용서를 구했다.
4월 4일, Euler Labs는 성공적인 협상 후 공격자들이 훔친 자금을 모두 반환했다고 트윗했습니다.
취약점 분석:오일러 파이낸스(Euler Finance)의 2억 달러 도난 사건을 자세히 검토해 보세요. 이 사건이 우리에게 어떤 깨달음을 가져다 주나요?
6.2 BonqDAO 보안사고
2월 1일, 암호화 프로토콜 BonqDAO가 가격 조작 공격을 받았습니다. 공격자는 1억 개의 BEUR 토큰을 발행한 후 Uniswap에서 BEUR를 다른 토큰으로 교환했습니다. ALBT의 가격이 거의 0으로 떨어졌고 이로 인해 ALBT가 더욱 청산되었습니다. . 해커 공격 당시 토큰 가격에 따르면 손실액은 최대 8,800만 달러에 이르렀으나, 유동성 고갈로 인해 실제 행사 손실액은 약 185만 달러에 이르렀다.
취약점 분석:연초 최대 해킹사고, 8800만 달러 손실, 암호화 프로토콜 BonqDAO 공격 분석
6.3 오리너구리 금융 보안 사고
2월 17일 Avalanche 플랫폼의 Platypus Finance는 기능 확인 메커니즘 문제로 인해 공격을 받아 약 850만 달러의 손실을 입었습니다. 그러나 공격자는 계약서에 출금 기능을 구현하지 않아 공격 수익금이 공격 계약서에 저장되어 출금이 불가능하게 되었다.
오리너구리는 2월 23일 바이낸스에 연락해 해커의 신원을 확인했으며 자금의 최소 63%를 사용자에게 배상하겠다고 밝혔다.
2월 26일, 프랑스 경찰은 오리너구리 공격에 연루된 용의자 2명을 체포하고 소환했습니다.
취약점 분석:플래시 대출 공격을 방지하는 방법은 무엇입니까? Avalanche 체인의 Platypus 프로젝트에 대한 850만 달러 규모의 공격 분석
6.4 연도금융 보안사고
2023년 4월 13일 Yearn Finance의 yusdt 계약이 해커의 플래시 대출 공격을 받아 해커가 1천만 달러 이상의 수익을 올렸습니다. yUSDT는 1000일 이상 전에 배포되었을 때 Fulcrum iUSDT 대신 Fulcrum iUSDC 배포를 실수로 사용하여 잘못 구성되었을 것으로 의심됩니다.
5월 26일 Yearn 공격자들은 4134 ETH를 Tornado Cash로 이체했습니다.
취약점 분석:천만 달러 이상을 도난당한 Yearn Finance는 어떻게 해커의 표적이 되었습니까?
7. 대표적인 자금세탁방지 사건 분석 및 검토
블록체인 보안 감사업체 베오신(Beosin)의 보안 리스크 모니터링, 조기경보 및 차단 플랫폼 모니터링에 따르면,Atomic Wallet은 올해 6월 초에 공격을 받았는데, Beosin 팀의 통계에 따르면 체인에 알려진 피해자들이 제보한 정보에 따르면 이번 공격으로 인한 손실은 최소 약 6,700만 달러에 이릅니다.
우리는 할 것이다이번 해킹 도난 사건에서 자금 세탁에 대한 자세한 내용을 살펴보고 다음을 활용하세요.Beosin KYT가상자산 자금세탁 방지 컴플라이언스 및 분석 플랫폼은 해커의 자금세탁 루틴을 추적하고 분석합니다.
이벤트 요약
Beosin 팀의 분석에 따르면 이번 도난에는 BTC, ETH, TRX 등 총 21개 체인이 관련되었습니다. 도난당한 자금은 주로 이더리움 체인에 집중되었습니다. 안에:
이더리움 체인
도난당한 자금은 16,262ETH 상당의 가상화폐, 약 3천만 달러인 것으로 확인되었습니다.
트론체인
TRON Chain의 알려진 도난 자금은 251,335,387.3208 TRX 상당의 가상 화폐로 약 1,700만 달러입니다.
BTC 체인
BTC 체인은 420.882 BTC 상당의 가상화폐, 즉 1,260만 달러에 해당하는 자금을 훔친 것으로 알려져 있습니다.
BSC 체인
BSC 체인은 40.206266 BNB 상당의 가상화폐를 훔친 것으로 알려져 있습니다.
나머지 체인
XRP: 1,676,015 XRP, 약 $840,000
LTC: 2839.873689 LTC, 약 $220,000
이더 리움
이더 리움
훔친 돈에 대한 해커의 작전에는 이더리움이 공격받는 두 가지 주요 방법이 있습니다.
1. 계약을 통해 분기된 후 체인 전반에 걸쳐 돈세탁을 위해 Avalanche를 사용합니다.
버신팀의 분석에 따르면 해커는 먼저 지갑에 있는 가치 있는 코인을 퍼블릭 체인의 주통화로 교환한 후 두 번의 계약을 통해 이를 수집하게 된다.
계약 주소는 2단계 전송을 통해 ETH를 WETH로 패키징한 후, ETH를 분기하는 데 사용되는 계약으로 WETH를 전송하고, 크로스체인 작업을 위한 상위 5단계 전송을 통해 Cross Bridge용 Avalanche의 지갑 주소로 전송합니다. -chain은 계약을 사용하지 않으며 Avalanche의 내부 장부 거래 유형에 속합니다.
이더리움 링크 다이어그램은 다음과 같습니다.
전체 텍스트 읽기:최소 6천만 달러 상당의 지갑 도난 사건, 베오신KYT가 해커들의 자금세탁 루틴을 안내해드립니다.
보조 제목
도난당한 자산의 45.5%가 회수되었습니다.
2023년 상반기에는Beosin KYT가상 자산 자금 세탁 방지 규정 준수 및 분석 플랫폼에 따르면 약 2억 1500만 달러의 도난 자산이 회수되었으며 이는 전체 도난 자산의 45.5%에 해당합니다. 2022년에는 도난 자산의 8%만 회수될 예정이다. 2023년에는 자금 회수 가능성이 크게 높아진다. 해커와의 복구 협상뿐 아니라 보안업체, 법집행기관, 커뮤니티 세력의 공동 노력에 의존하는 복구 사례도 늘어나고 있다. 또한 글로벌 규제 시스템의 개선과 법 집행 강화도 해킹에 대한 경고 역할을 하고 있습니다.
도난당한 자산 중 약 1억 1,300만 달러가 믹서로 이전되었습니다. 이 중 토네이도캐시로 약 4,538만 달러가 이체됐고, 기타 통화혼합플랫폼으로 약 6,814만 달러가 이체됐다. 2022년 8월 토네이도 캐시가 미국 OFAC의 제재를 받은 이후, 토네이도 캐시를 사용하는 해커들이 혼합하는 통화의 총량은 크게 감소한 반면, FixFloat, Sinbad 등 다른 통화 혼합 플랫폼의 사용은 크게 증가했습니다.
9. 프로젝트 감사 분석
감사를 받은 프로젝트와 감사를 받지 않은 프로젝트의 비율은 대략 같습니다. 공격을 받은 108개 프로젝트 중 51개 프로젝트는 감사를 받았고 53개 프로젝트는 감사를 받지 않았으며 그 비율은 거의 같습니다. 이 비율도 2022년 상황과 대략적으로 일치한다.
감사를 받은 51개 프로젝트 중 31개 프로젝트(60%)가 계약 취약점 악용으로 인해 공격을 받았습니다. 이 비율은 지난해 45%보다 높아 전체 감사 시장의 질은 아직 낙관적이지 않다. 프로젝트 당사자는 반드시 전문 보안업체를 찾아 감사를 받는 것을 권장합니다.
10. 러그 당김 분석
110건의 러그 풀 사고로 인해 7,587만 달러의 손실이 발생했습니다.
2023년 상반기에는 Web3 분야에서 총 110건의 대형 러그 풀(Rug Pull) 사고가 모니터링됐는데, 그 규모는 약 7,587만 달러에 이른다.
금액 기준으로는 러그 풀 이벤트 중 14건(12.7%)이 100만 달러 이상이었고, 41건(37.3%)이 10만~100만 달러 사이였으며, 55건(50%)이 10만 달러 미만이었습니다.%)
가장 큰 Rug Pull 프로젝트는 Fintoch 프로젝트로 자산이 약 3,160만 달러에 달했습니다.
체인 플랫폼의 관점에서 볼 때, BNB 체인에서는 80건의 러그 풀(Rug Pull) 사고가 발생했으며, 이는 다른 퍼블릭 체인보다 훨씬 높은 5,337만 달러에 해당합니다.
2023년 상반기 보안상황 요약
전체적으로 Web3 분야 해킹사고 총 손실액은 2022년에 비해 크게 감소했다. 2022년 상반기에는 총 공격 손실액이 약 19억 1천만 달러, 2022년 하반기에는 약 16억 9천만 달러, 2023년 상반기에는 그 가치가 4억 7천만 달러로 하락하며, 도난당한 자산 중 약 2억 1500만 달러를 회수했습니다. 해킹 공격은 주로 다음과 같은 이유로 인해 급격한 둔화를 보였습니다.글로벌 규제 시스템의 점진적인 개선, 법 집행 강화, 프로젝트 당사자의 안전 인식 개선, 통화 혼합기 Tornado Cash의 제재, AML 자금 세탁 방지 기술 및 절차 개선 등 또한, 커뮤니티 세력에 의존하여 오프체인 인텔리전스를 통해 해커의 신원을 찾아 강제로 해커를 복귀시키는 사례도 있었습니다.
해킹 공격이 크게 둔화되더라도 계약 보안 문제는 여전히 무시할 수 없습니다.2023년 상반기 가장 빈번하고 비용이 많이 드는 공격 방법은 계약 취약점을 이용한 공격이다.60건의 계약 취약점 사고로 인해 2억 6400만 달러의 손실이 발생했으며, 악용된 취약점의 대부분은 비즈니스 로직 문제였습니다. 좀 더 복잡한 비즈니스 로직의 허점을 발견하려면 숙련된 전문 감사 회사가 필요합니다.Beosin 감사팀은 모든 해킹 사건(Twitter @BeosinAlert)에 대해 심층 분석을 수행하여 여기에 요약된 경험과 기법이 가능한 해킹 공격에 대처하기 위한 프로젝트 감사 프로세스에 적용되도록 할 것입니다.
해킹 공격이 감소하는 추세와 달리 일반 사용자를 대상으로 한 피싱 사기는 더욱 빈번해지고 있습니다. 상반기에는 베놈드레이너(Venom Drainer)로 대표되는 월렛드레이너 집단이 잇달아 등장해 악성 툴킷을 개발해 판매했고, 피싱에 성공하면 구매자들이 공유하기도 했다. 이러한 피싱 사기는 광범위한 사용자에게 영향을 미치며 Venom Drainer 갱단만으로도 최소 15,000명의 피해자가 발생합니다.전체 보고서
