취약점

체인 탐정 Specter의 모니터링에 따르면, Wemix Network에서 70만 달러 이상의 취약점 이용 사건이 발생했으며, 관련 주소는 0xC921...7EA2입니다.

비트코인 뉴스에 따르면, CLARITY Act 최신 상원 초안에는 윤리적 해커, 즉 "화이트 해트" 해커가 사이버 보안 취약점을 책임감 있게 공개하도록 장려하는 조항이 포함되어 있습니다. 이 제안은 보안 결함을 식별하고 보고하는 개인에게 보상을 지급할 수 있도록 권한을 부여하며, 악의적인 행위자가 취약점을 이용하기 전에 디지털 자산 인프라 보호를 강화하는 것을 목표로 하고 있습니다. 이 조항은 전 CFTC 의장 J. Christopher Giancarlo의 의견을 반영하였으며, 그는 디지털 자산 혁신과 시장 회복력을 오랫동안 지지해왔습니다.

느린 안개 모니터링에 따르면, 탈중앙화 금융 프로토콜 Lien Finance가 공격을 받았으며, 공격자는 스마트 계약의 취약점을 이용해 무담보 채권 토큰을 발행하고 약 54.2만 달러의 USDC를 탈취했습니다.이 취약점을 통해 공격자는 해당 입력 채권을 소각하지 않고도 새로운 비정상 BondToken을 성공적으로 발행하였으며, 사전 승인된 주소를 통해 USDC로 교환한 후, 최종적으로 피해 주소에서 약 542,144.63개의 USDC를 빼내갔습니다. 분석에 따르면, 이번 사건은 본질적으로 채권 토큰 교환 논리의 검증 결함으로 인해 발생했으며, 공격자가 자산 담보 제약을 우회하고 무지원 자산을 발행할 수 있게 되었습니다.

Zilliqa는 Zilliqa Ledger 애플리케이션에 심각한 난수 생성 취약점이 존재하며, 이는 원주율 비 EVM Zilliqa 거래의 Schnorr 서명에 영향을 미친다고 발표했습니다. 공격자는 공개 체인상의 데이터만을 이용하여 편차가 있는 임시 난수에서 서명자의 개인 키를 복구할 수 있습니다.Zilliqa Ledger 애플리케이션을 통해 약 5건 이상의 원주율 거래에 서명하고 방송한 계정은 모두 유출된 것으로 간주되어야 합니다. 관련 서명이 체인에 영구적으로 기록되어 있기 때문에, 이후 애플리케이션 업데이트로도 위험을 제거할 수 없으며, 영향을 받은 개인 키는 반드시 비활성화해야 합니다. EVM 거래 및 zilliqa-js, gozilliqa-sdk, pyzil 등의 개발 도구는 영향을 받지 않습니다.취약점은 애플리케이션이 난수를 복사할 때 잘못된 32바이트를 선택하고 8바이트의 제로 패딩을 유지하며 8바이트의 엔트로피를 잃어버려 각 난수의 최대 64비트가 고정적으로 0으로 설정되는 데서 발생했습니다. 공격자는 5개 이상의 영향을 받은 서명을 이용하여 일반 하드웨어로 몇 초 내에 개인 키를 복구할 수 있습니다. Zilliqa는 7월 19일 의심스러운 능동적 이용 활동을 관찰하였고, 7월 21일에 근본 원인을 확인했습니다.Zilliqa는 추가 자금 손실을 방지하기 위해 원주율 거래를 중단하였으며, Ledger와 함께 수정된 애플리케이션을 준비하고 있습니다. 그러나 수정된 버전은 이미 노출된 키를 보호할 수 없으며, 영향을 받은 사용자는 현재 자산을 스스로 이동하지 말고 공식적인 조치 방안을 기다려야 합니다.

체인 분석가 Onchain Lens (@OnchainLens)의 모니터링에 따르면, Summer Fi 취약점 공격자가 대부분의 도난 자금을 이동했습니다. 공격자는 7월 6일 해당 취약점에서 601.7만 DAI를 획득한 후, Tornado Cash를 통해 자금 세탁 및 이동을 지속했습니다.현재 두 개의 관련 주소에 여전히 소량의 자금이 남아 있습니다: 원래 지갑(0x7bf7...bdca)에는 11.3 ETH(약 2.16만 달러)가 남아 있고, 두 번째 지갑(0x46e0...eba7)에는 282.9 ETH(약 54.35만 달러)가 남아 있습니다.

체인 탐정 ZachXBT가 게시한 바에 따르면, 크로스 체인 프로토콜 TeleSwap은 7월 15일 약 735,000달러의 취약점 공격을 받았으며, 사건 발생 후 즉시 비트코인 핫 월렛이 거래 처리를 중단했습니다.현재 사건 발생 후 5일이 지났지만, 프로젝트 측은 이 사건에 대해 어떤 공개 발표도 하지 않았습니다. ZachXBT는 약 2시간 전 공격자가 도난당한 자금을 Tornado Cash로 이체했다고 밝혔습니다.

Bitcoin News는 X 플랫폼에 글을 올리며 Dathon Pwn이 BIP 110의 늦은 업그레이드 합의 취약점을 발견했다고 주장하고, 이는 구 소프트웨어에서 업그레이드된 노드가 체인 역사를 유지하게 할 수 있으며, 새로 배포된 BIP 110 노드는 이러한 역사를 거부하여 숨겨진 체인 분열이 발생할 수 있다고 경고했습니다.

Robinhood Chain 발사 플랫폼 Pons 공식은 이전에 전면에 존재하는 토큰 권한 취소 취약점에 대한 소식에 응답하며, Pons launchpad 거래 페이지에는 어떤 Multicall3 기능도 존재하지 않는다고 밝혔습니다. 트윗에서 언급된 Multicall3 기능은 이전의 Debank Chain 구 버전 크로스 체인 브리지에서 나온 것으로, 이 기능은 Pons launchpad 출시 이전에 등장했으며, launchpad 사용자에게 영향을 미치지 않습니다.현재 확인된 영향을 받은 자산은 0.6 개 NOXA 토큰뿐이며, 가치는 약 0.66 달러입니다. 안전 예방 조치로, Pons는 구 버전 크로스 체인을 사용했던 사용자에게 revoke.cash를 통해 토큰 권한을 취소할 것을 권장합니다. 팀은 현재 감사 기관과 협력하여 잠재적 위험을 조사하고 있으며, 실제 취약점이 없음을 확인한 후 Pons 전면 서비스를 복구할 것이라고 밝혔습니다.

머스크는 안전 취약점 검토가 완료된 후 X가 모든 코드 라이브러리를 예외 없이 오픈 소스화할 것이라고 밝혔습니다. 또한 X는 제3자 검토자를 초대하여 실제 운영되는 시스템을 검증하여 공개 소스 코드와 일치하는지 확인할 것입니다.

공식 소식에 따르면, PinGo는 보상 계약이 최근 해커 공격을 받았다고 발표했습니다. 해커는 권한 검증 취약점을 이용해 840,000개의 PINGO 토큰을 불법으로 수령했습니다.PinGo 공식은 현재 해당 보안 사건이 효과적으로 통제되었으며, 남은 자산의 이전이 완료되었고, 관련 계약의 업그레이드도 완료되었다고 밝혔습니다. 공식은 PINGO 토큰 및 관련 개인 키가 여전히 안전한 상태에 있으며, 보상 수령 기능이 현재 다시 열렸다고 강조했습니다.

코인데스크(CoinDesk)에 따르면, 이더리움 재단은 최근 보안 팀이 AI 에이전트를 활용하여 이더리움 검증 노드에서 실행되는 소프트웨어를 테스트하고, 원격으로 트리거되어 노드가 다운되는 취약점을 성공적으로 발견했다고 밝혔습니다. 그러나 연구원들은 AI가 생성한 많은 보안 보고서에서 인적 검토가 실제 취약점과 오탐지를 구별하는 데 여전히 중요한 단계라고 강조했습니다.이번에 발견된 취약점은 이더리움 네트워크 메시지 전파 프로토콜인 gossipsub에 존재하며, 공격자는 원격으로 노드 소프트웨어를 비정상적인 계산 상태로 진입시켜 프로그램이 다운되고 종료되게 할 수 있습니다. 이로 인해 검증 노드가 오프라인 상태가 되며, 운영자가 수동으로 재시작할 때까지 지속됩니다. 이 취약점은 이미 수정되었으며, 번호 "CVE-2026-34219"로 등록되었습니다.이더리움 재단 프로토콜 보안 팀의 일원인 니코스 박세바니스(Nikos Baxevanis)는 이번 사건에서 진정으로 놀라운 점은 AI가 취약점을 발견하는 능력이 아니라, 팀이 실제로 존재하는 취약점과 그저 신뢰할 수 있는 "환상"처럼 보이는 것들을 구별하는 데 많은 시간을 소비했다는 점이라고 말했습니다.

Ledger 연구원들은 레이저 공격을 통해 모든 Tangem 하드웨어 지갑 카드의 비밀번호를 재설정할 수 있음을 발견했습니다.이 공격은 장치에 물리적으로 접촉해야 하며 약 25만 달러의 실험실 장비가 필요하고, 이미 유통된 카드는 패치로 수정할 수 없습니다.

이더리움 재단 프로토콜 보안 팀 연구원들은 목요일 블로그 게시물에서 이더리움에 의존하는 소프트웨어를 테스트하기 위해 일련의 AI 에이전트를 배포하여 암호 시스템, 프로토콜 코드 및 스마트 계약의 취약점을 검색했다고 밝혔습니다. AI 에이전트가 발견한 취약점에는 이더리움 합의 클라이언트에서 사용하는 피어 투 피어 레이어 libp2p gossipsub에서 원격으로 트리거될 수 있는 패닉 문제를 포함하며, 이 문제는 수정되어 GitHub에 CVE-2026-34219로 공개되었습니다.연구원들은 AI 에이전트가 정찰, 검색, 결함 보완 및 검증과 같은 전문 역할로 조직되어 잠재적인 공격 경로를 찾고, 결함을 재현하며, 그것이 생산 코드에 적합한지 검증하는 데 사용된다고 말했습니다. 이더리움 재단은 AI가 보안 연구원을 대체한 것이 아니라 작업 방식을 변화시켜 팀이 수작업 검토보다 훨씬 더 넓은 범위를 커버할 수 있게 했지만, 연구원들이 많은 신뢰할 수 있는 결론에 대해 더 신중한 판단을 해야 한다고 밝혔습니다.

Summer.fi는 Lazy Summer Protocol USDC 금고 공격 사건 분석 보고서를 발표했습니다. 공격자는 단일 원자 거래에서 두 개의 USDC 금고 지분 가격을 조작하여 약 604만 달러의 예치자 자금을 인출했습니다. 공격의 핵심은 금고 자산 순자산 가치(NAV) 계산 방식에 있습니다.공격자는 2025년 11월 사건 이후 중단되었지만 아직 완전히 제거되지 않은 Silo Ark에 여전히 이전 평가를 유지하는 토큰을 기부하여 금고 총 자산이 약 9.5% 부풀려지게 했고, 지분 가격이 상승하여 이후 부풀려진 가격으로 환매하고 금고의 실제 유동성에서 인출했습니다. 보고서는 이 공격이 계약 코드의 취약점이 아니라 금고 오프라인 프로세스에서의 단계 누락으로 인한 것임을 강조합니다. ------ 해당 Ark의 예치 한도는 제로로 설정되었지만 여전히 활성 자산 집중에 포함되어 NAV에 반영되었습니다.공격자는 3개월 전에 여러 지갑을 통해 필요한 토큰을 미리 계획하여 축적했으며, 일부 수익은 Tornado Cash를 통해 이전했습니다. 사건 발생 후, Guardian Multisig는 모든 온체인 금고를 중단하고 예치 한도를 제로로 설정했습니다. Lazy Summer DAO는 향후 몇 일 내에 영향을 받은 사용자 보상 방안 및 금고 재가동 계획을 논의할 것입니다.

Zcash 개발 팀은 곧 출시될 새로운 프라이버시 풀 Ironwood를 통해 형식적 검증을 도입하여 "검출할 수 없는 증발 취약점"의 위험을 수학적 증명 방식으로 제거할 계획을 발표했습니다.이전 소식에 따르면, Orchard 차단 풀의 존재하는 취약점은 이미 수정되었고 이용된 증거는 없지만, 이론적으로 체인 상의 역사로 은밀한 증발이 발생했는지 확인할 수 없기 때문에 커뮤니티는 완전히 새로운 Ironwood 차단 풀을 출시하고 그 프로토콜에 대한 포괄적인 형식적 검증을 실시하기로 결정했습니다.

안전 회사 Coinspect Security가 X 플랫폼에 게시한 글에 따르면, 2018년 이후 불안전한 코드로 생성된 암호화 지갑 시드를 분석한 결과, 수천 개의 시드가 실제로 사용된 것으로 나타났으며, 지난달에만 이 지갑에서 도난당한 금액이 314만 달러에 달하고, 그 중 대부분은 보고되지 않았습니다.일부 자금은 단일 주소로 집중 이체되거나 세탁 패턴이 존재하며, 특정 영향을 받은 주소는 경고가 게시된 지 몇 시간 후에 200만 달러를 다시 이체했으며, 이는 도난인지 여부는 불확실합니다. Coinspect는 많은 자산이 여전히 위험에 처해 있다고 생각하는 사용자들이 중국에 있을 수 있다고 경고했습니다.

코인데스크(CoinDesk)에 따르면, 블록체인 보안 회사 Hexens의 연구원들이 Aptos 블록체인 Move 가상 머신에서 "만료된 캐시" 유형의 혼란 취약점을 발견했습니다. 공격자는 약 3000 달러의 서버 비용만으로도 시뮬레이션 환경에서 약 90%의 성공률로 공격을 시작할 수 있으며, 검증자 권한이나 내부 지식이 필요하지 않습니다.연구원들은 시뮬레이션 테스트에서 약 20회의 공격을 실행했으며, 17-18회 성공했고 LayerZero, Wormhole, USDC CCTP 등의 크로스 체인 프로토콜 관리 권한에 대한 잠재적 제어 능력을 검증했습니다.Hexens는 이 취약점이 Aptos 체인 상의 DeFi, 스테이블코인 및 유동성 스테이킹 등의 프로토콜에 직접적인 위협이 된다고 평가하며, 저단위 수십억 달러 자산이 관련되어 있다고 밝혔습니다. 만약 크로스 체인 브리지, 스테이블코인 발행 및 중앙화 거래소 등을 통해 확산된다면, 시스템적 위험 노출은 최대 700억 달러에 이를 수 있습니다. Aptos 팀은 2월 25일 취약점 보고서를 받은 후 몇 시간 내에 수정 작업을 완료하고 메인넷에 배포했으며, 현재 사용자 자금은 손실되지 않았습니다.

慢雾의 최고 정보 보안 책임자 23pds가 X 플랫폼에 글을 올리며, curl이 최근 18개의 보안 취약점을 수정했다고 밝혔습니다. 이 취약점은 인증 우회, 메모리 안전성 및 호스트 검증 등의 문제를 포함하고 있으며, 그 중 1개의 libcurl 취약점은 약 25년 동안 존재해왔습니다. 위험은 curl 명령줄에 국한되지 않고, libcurl에 의존하는 애플리케이션, SDK, 컨테이너, 펌웨어, 게이트웨이 및 CI/CD 환경에 광범위하게 영향을 미칩니다. 가능한 한 빨리 curl/libcurl을 업그레이드하고, 구버전 libcurl을 사용하고 있는지 점검할 것을 권장합니다. 특히 mTLS, 프록시 인증 및 연결 재사용 시나리오에 주의해야 합니다.

Web3 보안 회사 GoPlus Security는 최근 스마트 계약 취약점 공격이 빈발하고 있으며, 특히 수년간 배포된 오래된 계약이 공격자들의 주요 목표가 되고 있다고 지적했습니다. 공격자들은 AI 기술을 이용해 이러한 취약점을 빠르게 발견하고 활용하고 있습니다.최근의 전형적인 사건은 다음과 같습니다:6월 9일, 7년 전에 배포된 Token of Power (TOP) 계약이 이더리움에서 공격을 받아 약 150만 달러의 손실이 발생했습니다;5월 25일, 3년 전에 배포된 WUSD.fi 계약이 공격을 받아 약 20만 달러의 손실이 발생했습니다;6월 14일과 6월 18일, Aztec Network는 2년 전에 배포된 오래된 계약이 공격을 받아 연속으로 두 번 공격을 당했으며, 총 손실은 400만 달러를 초과했습니다.GoPlus Security는 전통적인 감사 방식이 역사적 유산 계약을 효과적으로 커버하기 어렵다고 생각하며, AI 기반의 지속 감사(Always-on Audit) 서비스가 현재 가장 효과적인 해결책일 수 있다고 보고 있습니다. 이 서비스는 짧은 시간 내에 오래된 계약에 대한 보안 검사를 수행하고 신뢰성과 비용 간의 균형을 이룰 수 있습니다.

慢雾 수석 정보 보안 책임자 23pds가 발표한 바에 따르면, 연구원이 Cordyceps라는 CI/CD 고위험 위험을 폭로했으며, 마이크로소프트, 구글, 아파치, 클라우드플레어 등 주요 기업의 오픈 소스 저장소가 모두 실험에서 감염되었다. 공격자는 기업 계정이나 시스템 권한 없이 무료 GitHub 계정을 등록하고, 악성 PR을 제출하거나 댓글을 남기기만 하면 승인 위조, 서버 키 도용, 악성 코드 푸시를 통해 기업 코드 저장소를 완전히 장악할 수 있다.