악용

Summer.fi는 Lazy Summer Protocol USDC 금고 공격 사건 분석 보고서를 발표했습니다. 공격자는 단일 원자 거래에서 두 개의 USDC 금고 지분 가격을 조작하여 약 604만 달러의 예치자 자금을 인출했습니다. 공격의 핵심은 금고 자산 순자산 가치(NAV) 계산 방식에 있습니다.공격자는 2025년 11월 사건 이후 중단되었지만 아직 완전히 제거되지 않은 Silo Ark에 여전히 이전 평가를 유지하는 토큰을 기부하여 금고 총 자산이 약 9.5% 부풀려지게 했고, 지분 가격이 상승하여 이후 부풀려진 가격으로 환매하고 금고의 실제 유동성에서 인출했습니다. 보고서는 이 공격이 계약 코드의 취약점이 아니라 금고 오프라인 프로세스에서의 단계 누락으로 인한 것임을 강조합니다. ------ 해당 Ark의 예치 한도는 제로로 설정되었지만 여전히 활성 자산 집중에 포함되어 NAV에 반영되었습니다.공격자는 3개월 전에 여러 지갑을 통해 필요한 토큰을 미리 계획하여 축적했으며, 일부 수익은 Tornado Cash를 통해 이전했습니다. 사건 발생 후, Guardian Multisig는 모든 온체인 금고를 중단하고 예치 한도를 제로로 설정했습니다. Lazy Summer DAO는 향후 몇 일 내에 영향을 받은 사용자 보상 방안 및 금고 재가동 계획을 논의할 것입니다.

Aztec Labs는 2021년에 출시되어 현재 중단된 Aztec Payments 제품과 관련된 사건을 이용한 의심스러운 사건을 조사하고 있다고 밝혔습니다. 약 200만 달러가 관련 불변 스마트 계약에서 이체되었습니다.

코인텔레그래프에 따르면, 앤트로픽은 클로드 미토스 모델의 첫 번째 공개 버전인 페이블 5를 출시했으며, 내장된 안전 장치에도 불구하고 암호화 사용자들은 악의적인 목적으로 사용될 수 있다는 우려를 하고 있다. 이 모델은 이전에 "시스템적으로 중요한 소프트웨어"에서 1만 개 이상의 고위험 취약점이 발견되었다. 앤트로픽은 페이블 5가 일반 용도로 안전하게 준비되었으며, 안전 장치가 사이버 보안 등의 주제를 다른 모델로 리디렉션할 것이라고 밝혔다.문록 캐피탈의 창립자 사이먼 데딕은 페이블 5를 이용해 스마트 계약 취약점을 찾는 비용과 기술 요구 사항이 "기본적으로 제로에 가까워질 것"이라고 경고하며, 감사되지 않은 프로토콜이 표적이 되고 알려진 취약점이 지속적으로 재현될 것이라고 말했다. 그는 사용자에게 지갑 권한을 철회하고, 자산을 프로토콜에서 이동시키며, 새로운 하드웨어 지갑으로 전환할 것을 권장했다.커브의 공동 창립자 마이클 에고로프는 위협이 과장되었다고 생각하며, 스마트 계약 코드 양이 수천 줄에 불과하고 인간과 일반 AI가 충분히 추론할 수 있다고 주장했다. 진정한 위험은 운영 안전과 공급망 공격에 있다고 강조했다.

드래곤플라이 파트너 Haseeb가 최근 Zcash에서 수정된 취약점에 대해 트윗을 통해 설명했습니다. 그는 이 취약점이 수정되기 전에 악용될 경우(확률은 극히 낮지만) 프라이버시 풀에서 가짜 ZEC가 발행될 것이라고 밝혔습니다. 공격자는 신속하게 판매해야 하지만, 시장에서 주로 거래되는 투명한 ZEC로 인해 비공식적으로 해제되지 않은 프라이버시 ZEC를 주요 거래소에서 직접 매도할 수 없습니다. 따라서 손실은 주로 프라이버시 ZEC를 보유한 사용자에게 발생하며, 투명 ZEC 보유자와 가격 발견에는 거의 영향을 미치지 않습니다.Haseeb는 Zcash 팀이 다음 업그레이드에서 새로운 턴스타일 메커니즘과 새로운 프라이버시 풀을 도입하여 프라이버시 풀이 팽창되지 않았음을 검증할 것이라고 강조했습니다. 그는 또한 형식적 검증 기술에 대해 긍정적으로 보고 있으며, 이는 전체 산업의 소프트웨어 안전성을 향상시키는 중요한 경로라고 생각하며, 특히 프라이버시 프로토콜에 매우 중요하다고 언급했습니다.

Transit Finance의 공지에 따르면, 해당 프로젝트는 최근 보안 사건이 발생했으며, 이는 2022년에 폐기된 TRON에서 배포된 구형 스마트 계약의 역사적 취약점이 악용되어 소수의 사용자에게 영향을 미쳤기 때문입니다.팀은 문제를 발견한 후 긴급하게 점검, 격리 및 수리를 완료했으며, 5월 12일에 추가 감사 및 수정 작업을 진행했습니다. 현재 사용 중인 계약 버전은 영향을 받지 않았으며, 4년 이상 안전하게 운영되고 있으며 지속적으로 보안 감사 및 모니터링을 받고 있습니다.Transit는 영향을 받은 사용자에게 전액 보상을 제공할 것이며, 구체적인 방안은 공식 채널을 통해 발표될 예정이라고 밝혔습니다. 또한 사용자에게는 공식 메시지를 사칭하는 것에 주의하고, 개인 키나 복구 문구를 유출하지 말 것을 당부했습니다.

시장 소식에 따르면, 공격자는 결함이 있는 EIP-7702 계정을 이용하여 QNT 저장소에서 1,988.5 QNT(약 54.93 ETH)를 도난당했습니다. 근본 원인은 해당 저장소 관리자 EOA가 EIP-7702를 통해 BatchExecutor 계약에 코드를 위임했으며, 해당 계약이 권한 제어가 없는 BatchCall 계약을 승인 호출자로 설정했기 때문입니다.BatchCall.batch() 함수에 권한 검증이 설정되지 않아, 임의의 외부 호출자가 호출할 수 있게 되어 결국 저장소 자산이 고갈되었습니다.

파이돈 모니터링에 따르면, 10억 개의 DOT 토큰이 이더리움 체인에서 비정상적으로 발행되어 매각되었습니다.체인 상의 데이터에 따르면, 약 1시간 전 공격자가 관리자 권한을 변조하여 계약의 제어권을 악의적인 주소로 이전한 후, 10억 개의 DOT를 발행하고 즉시 매각하여 코인 가격이 1.22달러에서 거의 제로로 폭락했습니다.현재 사건은 여전히 진행 중이며, 폴카닷 공식은 아직 응답을 발표하지 않았습니다. 이번 공격의 대상은 이더리움의 브릿지 자산이며, 폴카닷의 원주 체인이 아닙니다.

据 Cointelegraph 报道，谷歌威胁分析团队近日披露了一个名为 "Coruna" 的新型 iOS 漏洞利用套件，该套件正被用于针对 iPhone 用户的加密货币盗窃活动。该套件主要针对运行 iOS 13 至 17.2.1 版本的设备，包含 23 个漏洞利用程序和 5 条完整的攻击链，其中部分为此前未知的漏洞。它可通过伪造的加密货币相关网站实施攻击。据悉，当用户使用存在漏洞的 iOS 设备访问这些恶意网站时，攻击代码会自动运行，扫描设备中的敏感信息，特别是包含助记词、备份短语、银行账户等关键词的文本，并试图从 Uniswap、MetaMask 等加密应用中窃取资产。谷歌研究人员强烈建议 iPhone 用户立即将设备更新至最新的 iOS 版本。若无法更新，应开启苹果系统的 "锁定模式" 以增强防护。

据 Decrypt 报道，澳大利亚联邦警察局警告称，诈骗分子正利用澳大利亚国家网络犯罪举报系统 ReportCyber，利用窃取的个人信息提交虚假报告，然后冒充澳大利亚联邦警察人员给受害者打电话，窃取其数字资产。该骗局极具迷惑性，犯罪分子会以合乎常理的方式核实信息，并迅速行动来制造紧迫感。他们非法获取邮箱地址、电话号码等信息，利用系统允许第三方代为举报的规则来博取信任。有受害者接到"警察"来电，被告知卷入加密货币数据泄露事件，还收到一个看似官方的参考编号，看到与诈骗分子提交相匹配的报告后，差点上当。随后，第二个来电者冒充平台，用同样编号诱导转账，所幸受害者及时察觉挂断电话。警方称，类似案件中诈骗分子常伪造号码，提醒民众保持警惕，注意识别骗局，保护好自身财产。

공식 발표에 따르면, Balancer는 취약점 공격 사건의 초기 보고서를 발표하였으며, Balancer V2의 조합 가능한 안정 풀은 11월 4일 여러 체인(이더리움, 베이스, 아발란체, 폴리곤, 아비트럼 등)에서 공격을 받았습니다. 취약점은 배치 교환 중 EXACT_OUT 거래에 대한 반올림 논리 오류에서 발생하였으며, 공격자는 이 메커니즘을 이용해 풀 내 잔액을 조작하고 자산을 인출했습니다. 이번 사건은 Balancer V2의 조합 가능한 안정 풀에만 영향을 미쳤으며, Balancer V3 및 다른 풀 유형은 영향을 받지 않았습니다. Balancer 팀은 보안 파트너 및 화이트 해커 팀과 신속하게 협력하여 Hypernative를 통한 자동 일시 중지, 자산 동결, SEAL 프레임워크 하의 화이트 해커 개입 등의 조치를 통해 공격 확산을 성공적으로 저지하고 일부 자산을 회수했습니다. 그 중 StakeWise는 약 73.5%의 도난당한 osETH를 회수하였고, BitFinding 및 Base MEV 봇 등 팀도 일부 자금을 회수하는 데 도움을 주었습니다. 현재 Balancer는 SEAL, zeroShadow 등 보안 파트너와 함께 크로스 체인 추적 및 자금 회수를 진행하고 있으며, 최종 확인된 손실 및 회복 데이터는 완전한 기술 복기 보고서에서 발표될 예정입니다. 공식은 사용자에게 알립니다: Balancer 공식 채널을 통해서만 확인 정보를 얻고, V3 및 비안정 풀 작업은 여전히 안전합니다.

Gnosis는 X 플랫폼에 다음과 같이 발표했습니다: "Balancer v2 자금 풀에 영향을 미치는 취약점 이용 사건에 대한 보고서를 확인했습니다. 현재 Gnosis는 영향을 받은 자금 풀 및 주소의 전체 범위를 확인하기 위해 전력을 다하고 있습니다. Gnosis 팀은 생태계 파트너와 협력하여 조율하고 있습니다. 예방 조치로서 Gnosis는 다음과 같은 조치를 취했습니다: Monerium 팀 및 Balancer 팀과 긴밀히 협력하여 EURe/sDAI 및 GNO/osGNO 자금 풀을 동결했습니다. 사용자는 여전히 UniV3 자금 풀을 통해 CoW Swap에서 거래할 수 있습니다. Gnosis 체인에서 자산을 크로스 체인으로 전송하는 표준 브리지를 일시적으로 부분적으로 중단했으며, 관련 거래는 취소될 것입니다. Gnosis는 사태의 발전을 계속 면밀히 주시하며, 추가 정보를 얻는 대로 신속하게 업데이트를 제공할 것입니다."

ChainCatcher 메시지, Lido가 X 플랫폼에서 보안 공개를 발표했습니다: Lido CSM 및 검증자 출금을 위한 면허 없는 검증자 계약과 관련된 취약점이 보고되고 수정되었습니다.이 취약점은 악용되지 않았으며, 어떤 CSM 노드 운영자도 영향을 받지 않았습니다. stETH 보유자도 영향을 받지 않았습니다. 수정 조치의 일환으로, 오라클 완화 방안(채권 소각 기능 비활성화)과 DAO 투표 190호 제안을 통해 취약점 수정이 시행되었습니다.Lido는 Lido×Immunefi 프로젝트를 통해 이 문제를 공개한 화이트 해커에게 취약점 보상을 지급했습니다.

ChainCatcher 메시지, 느린 안개 CISO @im23pds가 트윗으로 ChromeV8 엔진 취약점 CVE-2025-6554를 알렸습니다. 이 취약점은 공격자가 정교하게 구성된 웹페이지를 통해 악성 코드를 실행할 수 있게 해줍니다. 현재 관련된 이용 PoC가 공개되었으며, 이미 악용되고 있으니 사용자들은 업그레이드를 주의해야 하며, 피싱 공격으로 인한 자산 손실을 피해야 합니다.

ChainCatcher 메시지에 따르면, 공식 소식에 의하면 하드웨어 지갑 제조사 Trezor가 보안 경고를 발령하였으며, 공격자가 공식 지원 답변으로 위장한 피싱 이메일을 보내기 위해 연락 양식을 악용하고 있음을 발견했다고 합니다. 이는 사용자가 지갑 백업 정보를 유출하도록 유도하는 것입니다.공식에서는 Trezor가 절대 사용자 지갑 백업을 요구하지 않으며, 해당 정보는 항상 오프라인 상태로 비공식적이어야 한다고 강조했습니다. 현재 이 문제는 억제되었지만, 보안은 지속적인 과정이므로 사용자에게 경계를 유지할 것을 촉구하고 있습니다.

ChainCatcher 메시지에 따르면, CertiK Alert 모니터링 결과 오늘 아침 AIRWA가 BSC 네트워크에서 공격을 받아 약 3.4만 달러의 손실을 입었습니다. 해당 계약에는 공개된 setBurnRate() 함수가 있으며, 공격자는 이 함수를 이용해 AIRWA 토큰의 소각 매개변수를 수정하고 이익을 얻었습니다.

ChainCatcher 메시지에 따르면, PeckShield 모니터링 결과 CRV/ETH Exploiter 2 마킹 주소가 1500 ETH를 새로운 주소로 전송하였으며, 이는 약 460만 달러에 해당합니다. 이후 공격자는 Tornado Cash를 통해 돈세탁을 시작했습니다.

ChainCatcher 메시지에 따르면, Decrypt의 보도에 의하면, 유럽연합의 새로운 보고서는 비트코인의 라이트닝 네트워크와 기타 L2 솔루션이 "데이터 혼란" 기술로, "범죄자들이 남용할 수 있다"고 지적했습니다.보고서는 라이트닝 네트워크의 "양측 다중 서명 결제 채널이 모든 거래를 블록체인에 방송하지 않고, 채널의 개설과 종료만 방송한다"고 언급하며, 그것이 다른 L2 솔루션과 함께 "법 집행 조사에 문제를 일으킬 수 있다"고 덧붙였습니다.

ChainCatcher 메시지, CertiK Alert가 소셜 미디어에 게시한 내용에 따르면, 체인 상의 토큰 인프라 프로토콜 Hedgey의 취약점이 악용되어 약 190만 달러가 도난당했다고 합니다.공격자는 플래시 론을 이용해 createLockedCampaign 기능을 남용하여 피해자에게서 토큰 사용 승인을 얻었습니다. 피해자 계약의 USDC, NOBL 및 MASA 토큰이 소진되었습니다.

ChainCatcher 메시지, OKX 사장 Hong이 "2024 홍콩 Web3 카니발" 주 포럼에 초청되어 "책임 있는 혁신" 주제로 연설했습니다.Hong은 연설에서 우리가 Web3 기술에 많은 자원을 투자하고 있으며, 자가 관리 지갑 OKX Web3 지갑을 출시하여 강력한 원스톱 Web3 진입점으로 만들고 있다고 밝혔습니다. 우리는 자가 관리 지갑을 통해 사용자가 개인 키를 직접 관리하는 것이 플랫폼의 악용 위험을 줄이는 가장 중요한 방법이라고 믿습니다. 또한 우리는 열심히 노력하여 OKX Web3 지갑이 사용자에게 가능한 한 많은 접근 가능한 퍼블릭 체인, DApps, NFT 플랫폼 및 DEX 집계기를 제공하도록 최선을 다하고 있습니다. 우리는 이러한 옵션을 통합하는 중대한 작업을 수행하여 사용자에게 가장 포괄적이고 자유로운 선택을 제공하고 있으며, 이 모든 것은 현재 무료입니다.