해커들이 나흘 만에 두 번째 아즈텍trac에서 200만 달러를 빼돌려, 버려진 프로토콜의 위험성을 부각시켰다

공격자들은 6월 17일, 더 이상 사용되지 않는 Aztec 결제 제품에서 약 200만 달러를 탈취해 갔습니다. 이는 프로젝트에서 사용이 중단된 Aztec Connect 브리지를 표적으로 삼은 별도의 공격으로 219만 달러가 손실된 지 불과 며칠 만에 발생한 사건입니다. 

연이은 이번 사건은 사용자 자금이 보관되어 있지만 이를 복구할 수 있는 팀이 없는 버려진 스마트trac을 해커들이 공격하는 사례가 증가하는 추세에 더dent을 보여줍니다.

시대에 뒤떨어진 아즈텍 스마트trac은 어떻게 악용되었을까요?

보안 연구원 Cos는 Aztec의 비공개 롤업 브리지 계약에서 발생한 세 건의 의심스러운 거래를trac. Cos가 X에 게시한 글에 따르면, 이 거래는 1,158 ETH, 150,000 DAI, 0.47 renBTC였으며, 총액은 약 215만 달러에 달했습니다.

Cos가 문제 삼은trac은 6월 14일에 위반된 계약과는 다른 계약입니다. 

보안 연구원 thisvishalsingh은X에서 Private Rollup Bridge 자금 유출 사건이 "dent 확인trac며칠 전 사용 중단된 Aztec Connect 계약에서 발생한 210만 달러 자금 유출 사건과는 별개의 사건"

Aztec Labs는 X에서 "2021년에 출시되어 더 이상 사용되지 않는 Aztec 결제 제품에 영향을 미치는 잠재적 취약점을 조사하고 있다"고 밝혔으며, 해당trac을 "2022년에 서비스가 종료된 변경 불가능한 2단계 롤업"이라고 설명했습니다

아즈텍 재단은 "해당 제품은 4년 전에 단종되었으며, 아즈텍 랩스는 해당 시스템에 대한 어떠한 통제권도 갖고 있지 않다"고 밝혔습니다.

Aztec Labs가 사후 분석 보고서에서 밝힌 바와 같이,  6월 14일 공격은 Aztec Connect의 증명 검증 시스템과 온체인 정산 코드가 동일한 거래 배치(batch)를 읽는 방식의 결함을 악용했습니다. 증명 시스템은 32개 행씩 그룹으로 검증하는 반면, 정산 코드는 해당 배치에서 "실제"로 선언된 행 수만큼만 처리했습니다

Aztec Labs에 따르면, 공격자는 단일 거래에 포함된 14개의 정교한 롤업 제출을 통해 약 909 ETH, 270,513 DAI, 168 wstETH 및 여러 Yearn 볼트 토큰을 빼돌렸으며, 이는 총 약 219만 달러에 달합니다.

6월 15일에 발생한 후속 공격에서는 남은 DeFi 브리지 포지션에 대해 동일한 기법을 사용하여 8만 8천 달러를 탈취했습니다.

Aztec Connect는 2022년에 출시되어 2023년에 사용이 중단된 개인정보 보호형 zk-rollup입니다. 

2024년 4월, Aztec Labs는 1년 동안 사용자들에게 자금 인출을 촉구한 후, 모든 관리자 역할과 온체인 업그레이드 권한을 포기했습니다. 이는 자금을 보유하고 있는 다른 사용자들이 팀의 개입 없이 자금을 인출할 수 있도록 하기 위한 조치였습니다. 

하지만 이는 아즈텍 팀이 취약점이 발견될 경우 수정 사항을 배포할 권한이 없다는 것을 의미하기도 했습니다.

블록체인 보안 업체 블록에이드는 자사 모니터링 플랫폼이 6월 14일 자금 유출 거래가 실행되기 약 6분 전에 공격자의 준비 활동을 감지했다고 밝혔습니다. 

더 이상 사용되지 않는 프로토콜이 공격받는 이유는 무엇일까요?

아즈텍 사건dent가 아닙니다. 6월 15일, DeFi 옵션 프로토콜인 Thetanuts Finance는 몇 년 전에 다른 곳으로 이전한 기존 금고를 대상으로 한 210만 달러 규모의 공격 피해를 확인했습니다. 보안 연구업체 ExVul에 따르면, 이 공격은 금고의 상환 로직에 있는 결함을 악용한 것입니다.

Blockful.eth는 X에서 이러한 추세를 강조하며 "최근 며칠 동안 DeFi에 존재한다는 사실을 거의 기억하지 못하는 위험, 즉 수백만 달러가 묶여 있는 오래된trac이 방치되는 문제를 드러낸 두 건의 공격이 있었습니다."라고 썼습니다

탈중앙화를 명목으로 관리자 키를 포기한 프로토콜의 경우, 공격자들이 이러한 프로토콜을 노리고 있는 것으로 보아, 돌이켜보면 그 선택이 오히려 불리하게 작용한 것처럼 보일 수 있습니다. 

DefiLlama에 따르면 6월 중순 현재 DeFi 전반에 걸친 익스플로잇 손실액이 이미 4,300만 달러를 넘어섰으며, 사용 중지된trac이 공격 대상에서 점점 더 큰 비중을 차지하는 것으로 나타났습니다.

이 글을 읽고 계시다면 이미 앞서 나가고 계신 겁니다. 뉴스레터를 구독하시면 더욱 유익한 정보를 받아보실 수 있습니다.