1. Privy는 지갑 생성시 key를 두 갈래로 쪼개서 보관하는데, 보통 Privy의 TEE 안에서 서명하는 순간에만 합쳐졌다가 다시 지워지는 형태라, 아무도 key에 접근권한이 없는 상태.
2. 하지만 사용자가 export를 눌러서 key를 뺴는 순간 열쇠 자체가 TEE 밖으로 나오게 되므로 이때부터는 우리가 알던 일반적인 프라이빗 키와 같은 상태의 보안 레벨을 가짐.
3. predic fun api docs에서는 봇을 돌리는 유저들에게 privy 개인키를 넣으라고 안내했는데, 요 부분의 프론트를 공격해서 예제 코드나 설치 명령 같은걸 몰래 바꿔치기해서 사용자들의 키를 탈취한 듯 (공격 방식에 대해서는 제대로 찾아볼 수가 없었고, 이런 방식이였을 거라고 추측하는 듯.)
4. 컨트랙 자체가 뚫린게 아니고 결국 key 자체가 노출이 되어서 피해자들의 지갑으로 정상서명되면서 자금이 추출됨.
따라서 privy 쪽 문제는 아닌 것 같고 predictfun 쪽에서 만들어낸 사고로 보이네요.
근데 보안점검은 다다익선이고 아직 사고 루트가 확정난게 아니라서 일단 인용글에 나온대로 싹다 해두시는걸 추천.