일단 'Policy Audit' 이 완료되면 돌려준다고는 하는데,
날짜는 없네요
그리고 포인트는? 일단 몇일이지만 그때문에 포인트도 잃었는데 그말도 없고...
사실상 다 뺄꺼라 포인트 의미는 없지만 말이죠
원문 번역
요약
2015년 6월 27일, 저희 프로토콜에서 보안 침해가 발생하여 사용자 자금이 무단으로 인출되는 사건이 발생했습니다. 이 공격은 프로토콜에 커넥터를 추가할 수 있는 권한을 가진 노야 개발자의 지갑에 무단으로 액세스한 불량 개발자에 의해 수행되었습니다. 이들은 이 액세스 권한을 사용하여 자금을 자신의 지갑으로 리디렉션하는 사용자 지정 커넥터를 도입했습니다. 이는 볼트 로직 자체의 결함이 아니라 운영 키 관리와 내부 보안을 위반한 것입니다. Hacken, Code4rena, Custodia의 감사를 받은 코드는 안전합니다.
즉시 위협을 차단하고 추가 익스플로잇을 중단했으며, 피해를 완화하고 자금을 복구하기 위해 보안 전문가 및 거래소와 협력하기 시작했습니다.
타이밍
12:56:35: 공격자가 볼트에 악성 커넥터 추가
12:58:23: 악성 커넥터로 토큰 전송 0xE29419f00d28fc8763a176aa627c443dD71C2950
13:08: 추가 손실을 방지하기 위해 계약 소유권 업데이트(~$53K 절약)
13:20: 내부 조사 시작
14:10: 거래소 및 보안업체와 협력 시작
14:14: 트위터 및 Discord를 통해 사용자들에게 알림
3. 영향
손실된 총 자금:
14.5 ETH(익스플로잇 당시 약 35,000달러)
198,491 USDC
남은 자금: ~$53,000
자금 목적지 지갑(BSC): 0xac5bd9...
공격자 지갑(베이스): 0x1b4d8...
악성 커넥터 주소: 0xE29419f00d28fc8763a176aa627c443dD71C2950
5. 대응 조치
악성 커넥터 제거
자금 보안을 위해 계약 소유권 업데이트
커뮤니티에 즉시 공지
공격자 주소 중앙화 거래소에 보고
전체 검토를 위해 외부 보안 감사관 참여
6. 다음 단계
모든 권한 기능을 하드웨어 지갑 액세스만 가능한 멀티서명으로 전환
지연/시간 잠금 커넥터 추가 도입
모든 접근 제어 기능에 대한 종합 감사 실시
해큰과 버그 현상금 프로그램 공식 시작
정책 감사 완료 후 모든 자금 환급 예정
7. 사용자 안내
Discord와 트위터에서 업데이트를 모니터링하세요
우려 사항이 있는 경우, Discord에서 티켓을 작성하세요
8. 다음 단계는 무엇인가요?
NOYA 팀은 계속 구축해 나갈 것입니다.
근데 보다보니...
1,2는 숫자도 안달고
4는 빼먹었네... ㅋㅋ
수준 참
원문 트윗 링크
https://x.com/NetworkNoya/status/1938896139081650358