간밤에 Drift가 약 270m$, 한화로 4000억 가량의 돈이 탈취되었습니다.
어떻게 해킹이 이루어졌냐? 라고한다면
✔️ Drift 4000억 해킹 간단 요약
1. 컨트랙의 Admin 계정이 탈취되었고, 컨트랙을 업데이트하였음
2. 멀티시크 멤버가 이에 대한 변경을 동의 (Approve) 했음
(근데 이게 다 될정도면 그냥 다 털리거나 내부자인거 아니냐....)
3. Admin 계정 = Attacker 계정, 이제 CVT라는 토큰을 하나 찍음
4. 유통량 다 가지고 강제로 CVT 토큰을 펌핑시키고 이를 담보로 모든 자산을 대출해서 탈취해감
📱 원문트윗
뭐 여튼 내부자 소행이냐 아니냐는 둘째치고 어찌보면 99%의 디파이가 가지고 있는 특징
1. Admin 계정이 있고, 2. 컨트랙이 Admin 계정으로 간단하게 업그레이드 가능하다
의 한계점을 잘 보여준게 아닐까..
📱 (2024.11.28) 토네이도 캐쉬 미국 법원에서 완-승. 이뮤터블 컨트랙 vs 업그레이드 컨트랙이 승패를 갈랐다?!
뭐 보안 Audit도 받고 뭐하지만, 결론적으로 Admin 계정만 털고,
멀티시그로 보안을 걸어놨다면 그 계정 1~2개만 털면 사실 아무리 완벽하게 만들어놔도 다 털 수 있다...?
막말로 암만 코드 잘 짜놔도 코드 변경 권한 가진 슈퍼 계정 뻇기면 다 ㅈㅈ
이와 별개로 Drfit 실사용자는 데이터상 거의 없기에
대부분의 자산이 다른 디파이 + 투자자들이 TVL을 위해 넣어놓은 자산으로 보이는데 털린 결과가 어떻게 이어질지도 궁금하네요
뭐 여튼 중요한 메시지는 디파이 99%도 구조상 다 털릴수는 있다.
그러니 인지하고 스테이블 파밍하자 + 늘 한군데 몰빵은 절대하지말자
하트와 좋아요는 비큐 컨텐츠의 큰 힘이 됩니다 🤩
#Drift #해킹 #드리프트