속보 | 플래시론 공격, 디파이서 12억달러 탈취…피해 80% 이더리움

슬기로운 코인라이프 속보 데스크입니다.

Blockmedia (국내) 공개 보도를 한국어로 충실히 옮겼습니다.

투자 권유나 매매 추천이 아닙니다.

핵심 요약

[멕시코=심영재 특파원] 탈중앙화금융(DeFi·디파이)에서 플래시론을 악용한 공격으로 2020년부터 2024년까지 12억달러가 넘는 피해가 발생했다는 연구 결과가 나왔다. 공격 건수 자체보다 대형 사고가 전체 피해를 끌어올렸고, 이더리움에서 발생한 손실이 전체의 80%를 넘었다.

원문 번역

원 제목: “플래시론 공격, 디파이서 12억달러 탈취…피해 80% 이더리움”

[멕시코=심영재 특파원] 탈중앙화금융(DeFi·디파이)에서 플래시론을 악용한 공격으로 2020년부터 2024년까지 12억달러가 넘는 피해가 발생했다는 연구 결과가 나왔다. 공격 건수 자체보다 대형 사고가 전체 피해를 끌어올렸고, 이더리움 에서 발생한 손실이 전체의 80%를 넘었다.

디크립트에 따르면 팀 홀 윈체스터대 교수와 레모 슈티거 전 신티파이 파트너는 최근 ‘저널 오브 파이낸셜 크라임(Journal of Financial Crime)’에 발표한 연구에서 2020년 2월부터 2024년 7월까지 발생한 디파이 공격을 분석했다. 연구진은 이 기간 성공한 디파이 공격 254건 가운데 플래시론 공격 72건을 확인했다.

디크립트에 따르면 연구진이 조사한 254건의 디파이 공격에서 발생한 전체 피해액은 65억6800만달러였다. 이 가운데 플래시론 공격에 따른 손실은 12억1100만달러로 전체 피해액의 18.44%를 차지했다.

플래시론은 이용자가 담보 없이 유동성 풀 에서 자산을 빌릴 수 있도록 하는 구조다. 다만 빌린 자산은 동일한 블록체인 거래 안에서 상환해야 한다.

공격자는 이 구조를 이용해 취약점을 공격하는 데 필요한 대규모 자금을 일시적으로 확보할 수 있다.

홀 교수는 “이전에는 본 적 없는 범죄들이 나타나고 있다”며 일부 공격은 수천만달러에 이르는 막대한 금액을 탈취할 수 있다고 말했다.

연구에 따르면 플래시론 공격 피해액의 80% 이상이 이더리움 에서 발생했다. 개별 공격 피해 규모는 8만달러부터 1억9700만달러까지 다양했다.

특히 1000만달러 이상을 탈취한 대형 공격이 전체 플래시론 공격 피해액의 88% 이상을 차지했다.

연구진은 플래시론 공격 유형을 14가지로 구분했다. 이를 크게 가격 데이터 조작 공격과 프로토콜의 기본 논리상 취약점을 악용하는 공격으로 나눴다.

가격 데이터 조작은 디파이 프로토콜이 가격을 산정하는 데 사용하는 정보를 왜곡해 이익을 얻는 방식이다.

디크립트에 따르면 전체 플래시론 공격 피해 가운데 논리 취약점 공격이 차지한 비중은 2020년 2월2022년 1월 28%였다. 2022년 2월2024년 7월에는 55%로 확대됐다.

연구진은 디파이 플랫폼이 기존에 악용된 취약점을 보완하면서 공격자들도 새로운 약점을 찾는 방향으로 이동했다고 분석했다.

연구 결과 공격 활동은 성장과 안정화가 반복되는 단계적 흐름을 나타냈다. 기존 공격 수법에 대한 방어가 개선되면 공격자가 다시 새로운 취약점을 찾아내는 방식이다.

연구진에 따르면 가격 오라클 공격과 기부 기능 관련 논리 취약점 공격, 재진입 공격, 거버넌스 공격 4개 유형이 전체 플래시론 공격 손실의 81% 이상을 차지했다. 이 가운데 거버넌스 공격은 단 한 건이었지만 피해액이 1억8100만달러에 달했다.

연구진은 대규모 플래시론 공격을 당한 한 플랫폼 관계자와의 인터뷰도 진행했다. 해당 플랫폼은 신원 비공개를 요청했다.

관계자는 공격에 이용된 버그가 자체 검토뿐 아니라 여러 외부 감사기관의 점검도 통과했다고 설명했다. 그는 해당 취약점이 온체인 에 존재했지만 1년 넘게 발견되지 않았다고 말했다.

공격 이후 공격자가 소셜미디어에서 플랫폼을 조롱하는 행동을 시작했다고 홀 교수는 전했다. 이 과정에서 일부 피해자들이 공격자에게 직접 자신의 피해 상황을 설명하기도 했다.

익명의 플랫폼 관계자는 플래시론 공격자를 크게 두 종류로 구분했다. 하나는 취미 수준의 개인 연구자이고 다른 하나는 국가 단위 조직이나 전문 범죄집단이다.

다만 그는 블록체인 보안이라는 기술적 측면에서 볼 때 이들 전문 조직의 공격 방식 자체가 반드시 고도의 기술을 사용하는 것은 아니라고 설명했다.

공격이 프로젝트팀 내부에 미치는 피해도 상당한 것으로 나타났다. 관계자는 자금을 되찾는 경우에도 공격을 당한 뒤 팀이 분열되거나 사실상 붕괴되는 사례가 많다고 말했다.

연구에 따르면 플래시론을 통해 빌린 전체 자산 가치 대비 공격 피해액이 0.5%를 넘어선 기간은 조사 대상 가운데 6개월 구간 한 차례뿐이었다.

연구진은 플래시론 공격이 상당한 피해를 일으키고 공격 수법도 더욱 복잡하고 예측하기 어려워지고 있다고 평가했다. 다만 이를 디파이 생태계 자체의 존립을 위협하는 수준으로 보지는 않았다.

디크립트에 따르면 탈중앙화거래소 버니(Bunni)는 지난해 10월 플래시론이 사용된 840만달러 규모의 공격을 받은 뒤 서비스를 종료했다.

버니 측은 보안을 확보한 상태로 서비스를 재출시하는 데 필요한 비용을 감당하기 어렵다고 밝혔다.

홀 교수는 이번 연구가 학술적 분석에 그쳐서는 안 된다고 강조했다. 그는 연구 결과가 디지털자산 산업뿐 아니라 규제기관과 법률기관, 수사기관에도 활용될 수 있다고 말했다.

연구진은 플래시론 공격을 분석하기 위해 200억건이 넘는 거래를 조사했다고 디크립트는 전했다.

속보는 초기 단계에서 수치가 바뀌거나 정정될 수 있습니다.

번역은 원문의 사실을 전달하기 위한 것이며, 가격이 움직였다고 추세가 확정된 것이 아닙니다.

레버리지·호가 공백·환율이 체감 수익률을 왜곡합니다. “호재=매수, 악재=매도”로 번역하지 마세요.

면책

본 글은 교육·시황 정리 목적이며 투자 자문·매수·매도 권유가 아닙니다. 암호화폐는 변동성이 크고 원금 손실 위험이 있습니다. 공시·거래소·매크로·가격 수치는 시점에 따라 달라지며, 의사결정은 본인 책임입니다.