버신 : 2024년 1분기 Web3 블록체인 보안상황 및 자금세탁방지 분석 리뷰
원저자 : 버신 연구팀 마리오, 티안 다시아 도니
원본출처 : 버신
1. 2024년 1분기 Web3 블록체인 보안 상황 개요
버신Alert 모니터링 및 조기경보에 따르면,2024년 1분기에는 해커 공격, 피싱 사기, 프로젝트 당사자의 Rug Pulls로 인한 Web3 분야의 총 손실액이 7억 7,800만 달러에 달했습니다.이 중 주요 공격 사고는 39건으로 총 손실액은 약 6억 1700만 달러, 프로젝트 당사자와 관련된 러그 풀(Rug Pull) 사고는 43건, 총 손실액은 약 7550만 달러, 피싱 사기는 총 손실액 약 86.24달러였다. 백만.
2024년 1분기 총 손실액은 약 7억 7,800만 달러로 전년 동기 대비 약 126%, 월간 대비 약 72% 증가했다. 이 중 해커 공격으로 인한 손실액은 2023년 어느 분기보다 높다.
2월 총 손실액은 4억 2,200만 달러로 2024년 1분기 중 가장 높은 손실을 기록했습니다.
공격받는 프로젝트의 유형으로 판단하면,처음으로 게임 플랫폼이 손실이 가장 많은 프로젝트 유형이 되었습니다. Web3 게임 플랫폼에 대한 6건의 공격으로 인해 총 3억 6,500만 달러의 손실이 발생했으며 이는 전체 공격 손실의 59%를 차지합니다.
각 체인의 손실량으로 판단하면,이더리움은 여전히 가장 많은 손실과 가장 많은 공격을 받는 체인입니다. 이더리움에 대한 18건의 공격으로 인해 3억 4,200만 달러의 손실이 발생했으며 이는 전체 손실의 55.4%를 차지합니다.
공격방식 측면에서 보면,이번 분기에는 총 13건의 개인 키 유출이 발생하여 4억 5,800만 달러의 손실이 발생했으며, 이는 전체 공격 손실의 74.3%를 차지해 공격 유형 중 가장 높은 비율을 차지했습니다.
자본흐름의 관점에서 보면,도난 자산의 대부분은 해당 분기 동안 동결 및 회수되었습니다. 도난 자금 중 약 3억 300만 달러(49.2%)가 동결되었고, 도난 자금 중 7,945만 달러(12.9%)가 회수되었습니다.
감사상황으로 볼 때,공격을 받은 프로젝트 중에서 감사를 받는 프로젝트 당사자의 비율이 증가했습니다.
2. 2024년 1분기 공격 개요
39건의 주요 공격으로 인해 총 6억 1,670만 달러의 손실 발생
Beosin Alert는 2024년 1분기에 Web3 분야에서 총 39건의 주요 공격을 탐지했으며, 총 손실액은 6억 1670만 달러에 달했습니다. 그 중 손실액이 1억 달러를 초과하는 보안 사고가 2건, 1천만 달러에서 1억 달러 사이의 손실이 발생한 사고가 5건, 100만 달러에서 1천만 달러 사이의 손실이 발생한 사고가 21건이었습니다.
손실액이 미화 1,000만 달러를 초과하는 공격(금액별로 정렬):
PlayDapp - 2억 9천만 달러
공격방법 : 개인키 유출 체인 플랫폼 : 이더리움
2월 9일, 블록체인 게임 플랫폼 플레이댑(PlayDapp)이 공격을 받았고, 해커의 주소에서 3,650만 달러 상당의 pla 토큰 2억 개가 발행되었습니다. PlayDapp과 해커 간의 협상은 실패했고, 해커는 2월 12일에 2억 5,390만 달러 상당의 PLA 토큰 15억 9천만 개를 추가로 발행하고 자금 중 일부를 Gate.io 거래소로 보냈습니다. 이후 프로젝트 팀은 PLA 계약을 중단하고 PLA 토큰을 PDA 토큰으로 마이그레이션했습니다.
크리스 라슨(리플 공동 창업자) - 1억 1200만 달러
공격방법 : 개인키 유출 체인플랫폼 : XRP
1월 31일 리플의 공동 창업자인 크리스 라슨(Chris Larsen)은 자신의 지갑 4개가 해킹당해 총 1억 1200만 달러에 달하는 금액이 도난당했다고 밝혔다. 바이낸스 팀은 공격자들이 훔친 420만 달러 상당의 XRP를 성공적으로 동결했습니다.
먼처블스 - 6,230만 달러
공격방식 : 소셜엔지니어링 체인 플랫폼 : Blast
3월 26일, Blast 기반 Web3 게임 플랫폼인 Munchables가 공격을 받아 약 6,250만 달러의 손실을 입었습니다. 프로젝트팀이 북한 해커를 개발자로 고용했다는 이유로 공격을 받은 것으로 의심된다. 도난당한 자금은 모두 나중에 해커에 의해 반환되었습니다.
고정플로트(FixedFloat) - 2,610만 달러
공격방식 : 보안구조 취약점체인 플랫폼 : 이더리움
2월 17일 암호화폐 거래소인 FixFloat가 공격을 받아 약 2,610만 달러의 손실을 입었고, 해커들은 훔친 자금의 대부분을 eXch 거래소로 이체했습니다. 2월 20일, 픽스플로트(FixedFloat)는 이번 공격이 “우리 직원의 소행이 아니라 우리 보안 구조의 취약점으로 인한 외부 공격”이라고 밝혔다.
큐리오 생태계 – 1,600만 달러
공격방법 : 계약취약성 - 접근통제 취약점 체인 플랫폼 : 이더리움
3월 23일 RWA 인프라 큐리오 생태계(Curio Ecosystem)가 공격을 받아 약 1,600만 달러의 손실이 발생했습니다.
썸싱 - 1,158만 달러
공격방식 : 개인키 유출체인 플랫폼 : Klaytn
1월 27일, 한국의 Web3 소셜 뮤직 서비스가 공격을 받아 1,158만 달러 상당의 네이티브 토큰 SSX 7억 3천만 개가 손실되었습니다.
Jihoz.ron (로닌 공동 창업자) - 천만 달러
공격방법 : 개인키 유출 체인 플랫폼 : 로닌
2월 23일 로닌(Ronin)의 공동 창업자인 jihoz.ron의 주소 2개가 개인 키 유출로 인해 약 천만 달러의 손실을 입었습니다.
3. 공격 대상 프로젝트 유형
처음으로 게임 플랫폼이 가장 많은 손실을 입은 프로젝트 유형이 되었습니다.
이번 분기에 가장 큰 손실을 입은 프로젝트 유형은 게임 플랫폼으로, Web3 게임 플랫폼에 대한 6건의 공격으로 인해 총 3억 6,500만 달러의 손실이 발생했으며 이는 전체 공격 손실의 59%를 차지합니다. 처음으로 게임 플랫폼이 가장 많은 손실을 입은 프로젝트 유형이 되었습니다.
두 번째로 흔한 피해자 유형은 개인 지갑입니다. 2건의 개인 지갑 도난으로 인해 1억 2,250만 달러의 손실이 발생했습니다. 개인 지갑 도난 사건 두 건 모두 유명 프로젝트 파티의 공동 창업자(Ripple Lianchuang과 Ronin Lianchuang)로부터 도난당했습니다.
해커 공격 39건 중 DeFi 분야에서 총 17건의 사고가 발생해 약 43.6%를 차지했다. 이러한 17번의 DeFi 공격으로 인해 총 3,996만 달러의 손실이 발생하여 모든 프로젝트 유형 중 3위를 차지했습니다.
공격을 받은 다른 유형의 프로젝트로는 DEX, 인프라, 결제 플랫폼, Web3 뮤직 플랫폼 등이 있습니다.
4. 각 체인의 손실량
이더리움은 가장 많은 손실과 가장 많은 공격을 받는 체인입니다.
2023년과 마찬가지로 이더리움은 여전히 손실액이 가장 많은 퍼블릭 체인입니다. 이더리움에 대한 18건의 공격으로 인해 3억 4,200만 달러의 손실이 발생했으며 이는 전체 손실의 55.4%를 차지합니다.
손실액이 두 번째로 큰 퍼블릭 체인은 XRP로, 리플의 공동 창업자인 크리스 라슨(Chris Larsen)의 지갑을 훔친 것이었습니다.
세 번째로 손실액이 큰 퍼블릭 체인은 Blast입니다. Blast 체인에 대한 세 번의 공격으로 인해 총 6,750만 달러의 손실이 발생했습니다.블래스트 체인(Blast Chain)은 손실 금액 측면에서 주요 신흥 퍼블릭 체인 중 1위를 차지하고 있습니다.
이번 분기에 BNB 체인에서는 4건의 주요 보안 사고가 발생하여 약 801만 달러의 손실을 입었으며, 손실 금액과 순위가 매겨진 사고 건수 모두 2023년에 비해 크게 감소했습니다.
5. 공격 기법 분석
손실의 74.3%는 개인 키 유출로 인해 발생
이번 분기에 총 13건의 개인 키 유출이 발생하여 미화 4억 5,800만 달러의 손실이 발생했으며 이는 전체 공격 손실의 74.3%를 차지합니다. 2023년에도 여전히 개인키 유출로 인한 손실은 모든 공격 유형 중 1위를 차지하고 있다. 대규모 손실을 초래한 개인 키 유출로는 PlayDapp(2억 9천만 달러), Ripple 공동 창립자 Chris Larsen(1억 1,200만 달러), Somesing(1,158만 달러), Ronin 공동 창립자 Jihoz.ron(1,000만 달러) 등이 있습니다.
39건의 공격 중 21건은 계약 취약점 악용에서 발생했으며 총 손실액은 미화 6,556만 달러로 2위를 차지했습니다.
세 번째로 손실이 많은 공격 방법은 사회 공학 공격으로, 세 번의 사회 공학 공격으로 인해 약 6,500만 달러의 손실이 발생했습니다.
취약점별로 분류하면 손실을 초래하는 상위 3개 취약점은 알고리즘 결함(2,278만 달러), 액세스 제어 취약점(1,632만 달러), 비즈니스 로직 취약점(1,128만 달러)입니다. 발생 빈도가 가장 높은 취약점은 비즈니스 로직 취약점이며, 계약 취약점 공격 21건 중 7건이 비즈니스 로직 취약점입니다.
6. 대표적인 자금세탁방지 사건 분석 및 검토
Atom Asset(AAX)이 자금세탁방지(AML) 분석을 회피합니다
최근 홍콩 거래소인 Atom Asset(AAX)은 자금 세탁 방지(AML) 통제를 회피하기 위해 지갑에서 다양한 탈중앙화 거래소와 중앙 집중식 플랫폼으로 자금을 이동하기 시작했습니다. 발견되기 전 AAX 거래소 지갑과 관련된 마지막 거래는 2023년 10월과 2022년 11월에 발생했습니다. AAX는 붕괴되기 전 2백만 명 이상의 사용자를 보유한 홍콩 최대 규모의 암호화폐 거래소 중 하나였습니다.
Beosin 팀의 분석에 따르면 2024년 1월 29일부터 AAX 거래소가 거래소 지갑에서 25,100 ETH를 이체하기 시작한 것으로 나타났습니다. 이체 자금은 500 ETH 1건, 600 ETH 1건의 세 가지 거래로 나누어졌습니다. 거래당, 거래당 24,000 ETH. 현재 가격을 기준으로 이번 양도 금액은 7,400만 달러가 넘습니다.
AAX 거래소 사건의 전말
암호화폐 거래소 FTX가 파산 신청을 한 지 불과 이틀 만인 2022년 11월 13일, AAX도 거래 상대방 위험 노출로 인해 인출을 중단하고 모든 소셜 채널을 정리했습니다. 처음에 AAX는 악의적 공격 혐의에 대한 보안 조치로 인해 동결이 발생했다고 밝혔습니다.
2022년 11월 15일, AAX 거래소는 플랫폼 유지 관리가 필요하며 출금 중단 외에도 파생 상품이 자동으로 청산될 것이라는 성명을 발표했습니다. 그 이후로 AAX는 플랫폼 운영과 소셜 미디어 업데이트를 중단했습니다.
이상한 점은 426일간의 침묵 이후 AAX 거래소 지갑이 활성화되기 시작했고 AML 도구의 식별 및 모니터링을 피하기 위해 많은 양의 자금이 다른 주소로 이체되기 시작했다는 것입니다!
link: https://etherscan.io/address/0x56c1319b31a5316a327bd889d58c8633b204536c
AAX 거래소 이벤트 체인의 자금 분석
Beosin KYT 자금세탁 방지 분석 플랫폼은 AAX 거래소 지갑의 최근 온체인 활동에 대한 심층적인 연구를 수행한 결과 일련의 위험한 활동을 발견했습니다. 먼저 25,100개의 ETH가 모두 전송되었으며 운영자는 다양한 수단을 통해 ETH의 일부를 USDT로 전환한 다음 크로스체인 브리지를 통해 자금을 다른 블록체인으로 전송하여 자금을 정리했습니다.
Beosin KYT 자금세탁방지 플랫폼
대부분의 자금은 트론 블록체인으로 이체되어 일부 주소를 통해 이체된 후 이체되지 않은 채 일부 주소에 정산되었습니다. 이러한 행동은 AML을 회피하고 자금의 실제 출처와 목적지를 숨기려는 명백한 시도를 보여줍니다.
Beosin KYT 자금세탁방지 플랫폼
홍콩 경찰은 AAX 관계자 2명을 체포하는 등 사기 행위에 대해 신속하게 대응했으며, 현재 이체된 자금의 경로를 파악하고 영향을 받은 사용자의 자산을 복구하기 위해 노력하고 있습니다.
AAX Exchange는 탈중앙화 거래소, 암호화폐 거래소, 크로스체인 브리지와 같은 기술적 수단을 사용하여 자본 흐름의 경로와 출처를 모호하게 합니다. 이는 규제 기관과 AML 분석 플랫폼에 심각한 과제를 안겨줍니다.
7. 도난자산 자금흐름 분석
도난당한 자산의 대부분은 동결되어 회수되었습니다.
버신KYT 자금세탁방지 플랫폼 분석에 따르면 2024년 1분기 도난자금 중 약 3억300만달러(49.2%)가 동결됐고, 도난자금 중 7945만달러(12.9%)가 동결됐다. 자금이 회수되었습니다. 이 비율은 2023년보다 훨씬 높다.
도난당한 자금 중 약 1억 550만 달러가 다양한 거래소로 이체되었으며, 이는 약 17.1%에 해당합니다. 2023년과 비교해 올해 해커가 훔친 자금을 거래소로 이체하는 비율이 크게 늘어났다. 이는 거래소의 자금세탁 방지 및 규정 준수에 대한 더 높은 요구 사항을 제시합니다.
총 3,012만 달러(4.9%)가 믹서로 이체되었으며, 2,990만 달러가 Tornado Cash로 이체되었으며, 216,000달러가 기타 믹서로 이체되었습니다. 2024년 1분기에는 지난해와 비교해 환혼합을 통해 탈취된 자금세탁 건수가 크게 줄었다.
8. 프로젝트 감사 상황 분석
감사를 받는 프로젝트 당사자의 비율이 증가했습니다.
39건의 공격 사건 중 12건의 프로젝트 당사자는 감사를 받지 않았으며, 24건의 사건은 프로젝트 당사자가 감사를 받았습니다. 감사를 받은 프로젝트 당사자의 비율은 2023년보다 약간 높아졌으며 이는 Web3 산업 전체의 프로젝트 당사자가 보안에 대한 강조를 높였음을 나타냅니다.
감사를 받지 않은 12개 프로젝트 중 계약취약성 사고가 8건(66.7%)을 차지했다. 이에 비해 계약 취약성 사고는 감사 대상 프로젝트 24개 중 13개(54.2%)를 차지했습니다. 이는 감사가 프로젝트 보안을 어느 정도 향상시킬 수 있음을 보여줍니다.
9. 러그 당김 분석
러그 잡아당김 사고 43건으로 인해 7,550만 달러 손실 발생
2024년 1분기에는 프로젝트 당사자에 의해 총 43건의 러그 풀 사고가 감지되었으며, 이는 총 7,550만 달러에 달합니다.
손실 금액이 가장 큰 상위 5개 러그 풀 이벤트는 Bitforex(5,650만 달러), Hector Network(270만 달러), MangoFarm(200만 달러), OrdiZK(140만 달러), RiskOnBlast(130만 달러)입니다. 이 다섯 가지 Rug Pull 이벤트는 Ethereum, Fantom, Solana 및 Blast의 네 가지 체인으로 배포됩니다.
이더리움 체인의 Rug Pull과 관련된 총 금액은 5,968만 달러에 달해 전체 손실의 79%를 차지합니다. 러그 풀 이벤트는 BNB 체인 체인에서 가장 많이 발생했으며 총 29회 발생해 전체 이벤트 수의 67.4%를 차지했습니다.
10. 2024년 1분기 Web3 블록체인 보안 상황 요약
2024년 1분기에 해커 공격, 피싱 사기, 프로젝트 당사자의 Rug Pulls로 인한 총 손실액은 전 분기에 비해 크게 증가하여 7억 7,800만 달러에 달했습니다. 이번 분기 환율 상승이 총액 증가에 어느 정도 영향을 미쳤으나, 전반적으로 Web3 보안 분야의 상황은 여전히 낙관적이지 않다.
이번 분기에 가장 위험한 공격 유형은 개인 키 유출이었습니다.손실의 약 74.3%는 개인 키 유출로 인해 발생하며, 이는 2023년 데이터와 일치하는 추세입니다.프로젝트 유형의 관점에서 보면 게임 플랫폼, DeFi, 개인 지갑, 인프라, NFT, 결제 플랫폼, 도박 플랫폼, 데이터 저장 플랫폼 등 Web3의 다양한 분야에서 개인 키 유출이 발생합니다.모든 Web3 프로젝트 당사자/개인 사용자는 더욱 주의를 기울이고, 개인 키를 오프라인으로 저장하고, 다중 서명을 사용하고, 제3자 서비스를 주의 깊게 사용하고, 권한이 있는 직원을 대상으로 정기적인 보안 교육을 실시해야 합니다.
이번 분기에는 대부분의 자산이 동결되었다가 복구되었습니다.이는 글로벌 규제 시스템의 개선과 자금세탁 방지 노력의 강화를 의미합니다. 이번 분기에도 해커들이 훔친 자금을 거래소로 이체하는 비율이 크게 늘었기 때문에 거래소는 해킹 행위를 신속하게 파악하고 수사기관 및 프로젝트 당사자와 적극적으로 협력해 자금 동결 및 검증을 진행해야 한다.현재 거래소와 법 집행 기관, 프로젝트 당사자, 보안 팀 간의 협력은 상당한 성과를 거두었으며 앞으로 더 많은 도난 자금을 회수할 수 있을 것으로 예상됩니다.
이번 분기에 발생한 39건의 공격 중계약 취약점 악용 사례는 아직 21건으로 프로젝트 팀은 온라인에 접속하기 전에 전문 보안 회사를 찾아 감사를 받는 것이 좋습니다.Beosin은 세계 최고의 블록체인 보안 회사로서 Web3 생태계의 안전한 발전을 위해 최선을 다하고 있으며 3,000개 이상의 스마트 계약 및 퍼블릭 체인 메인넷을 감사했습니다. 신뢰할 수 있는 블록체인 보안 회사로서 Beosin은 프로젝트 당사자에게 탁월한 서비스를 제공할 수 있습니다. 보안 감사 서비스.
