1. 대충 요약하자면 취약점은 알려진 버그를 패치하기 위해 추가된 donateToReserves 함수에서 발생. 해당 함수에 health check가 빠져있어 자기 담보를 기부 → 자가 청산 → 청산 보너스 수취로 자금 탈취가 가능했음. 패치 코드는 오딧을 받았으나 담당 오딧 펌(sherlock)에서 취약점을 놓침.
2. 불행인지 다행인지 공격자는 상당히 미숙했음. 익스플로잇 컨트랙트를 두 번 배포하기도 하고, MEV 봇에 첫 트랜잭션($8.8M)을 프론트런 당함. 토네이도 캐시 전송도 특정당하기 쉬운 100 ETH 단위로 비효율적으로 처리
3. 북한 라자루스 그룹이 공격자의 미숙함을 눈치채고 중간에 개입. 공격자에게 온체인 메시지로 악성 복호화 도구 링크를 보내 역해킹을 시도. 오일러 팀이 이를 먼저 발견하고 공격자에게 경고 메시지를 보내 차단. 이때 라자루스가 개입에 성공했으면 오일러는 그대로 망했음.
4. 오일러 팀은 공격자를 중립적 톤으로 압박. SNS 커뮤니케이션도 전면 차단해서 공격자의 불확실성과 불안감을 극대화하는 전략
5. 공격자는 3주간 극도로 비합리적인 행동을 반복. 자금을 라자루스 주소로 전송하기도 하고, 랜덤 피해자에게 환불하기도 하고, 4개 주소로 분산해 죄수의 딜레마 상황을 연출하기도 함. 결국 "I fucked up. Forgive me"라는 메시지와 함께 전액 반환
6. 눈물나는 부분은 창업자가 이 기간 동안 아이가 태어나고, SVB 뱅크런 사고가 발생하고, 코로나에 감염되어 응급실로 가는 안타까운 상황이 이어졌다는 것. 팀원 중에 신변 안전 위협 받은 사람도 발생
결론적으로는 공격자로부터 전액을 돌려받았고, ETH 가격 상승 덕에 탈취 당시 $197M이었던 자금이 반환 시점에는 $240M으로 불어나서 피해자들이 오히려 이득을 봤다는 아이러니한 결말. 공격자가 국가 단위 해커가 아닌 미숙한 개인일 때 어떤 상황이 발생할 수 있는지 분명하게 보여주는 사례입니다. 털고나서 세탁할 방법을 모르는 개인은 저런 결말이 나기 일쑤라는 것..