Initia, MoveVM 스크립트 캐시 익스플로잇으로 270만 달러 손실 확인
TREE NEWS 보도: Initia가 10월 23일 보안 사고에 대한 사후 분석 보고서를 공개하며, 공격자가 MoveVM 스크립트 캐시의 취약점을 악용해 안전 검사를 우회하고 담보 없는 WETH, iUSD 및 달러 표시 자산을 발행했음을 확인했습니다. 위조된 상태를 통해 공격자는 잔액을 인위적으로 부풀렸고, 프로토콜이 개입하기 전까지 약 270만 달러를 빼낼 수 있었습니다.
공격 전개 과정
조사에 따르면, 결함은 Initia의 MoveVM 구현에서 스크립트 캐시 메커니즘에 존재했습니다. 캐시된 스크립트 상태를 조작함으로써 공격자는 발행된 자산이 완전히 담보화되었는지 보통 보장하는 검증 계층을 우회했습니다. 그 결과 전형적인 “가짜 상태(fake state)” 익스플로잇이 발생했습니다. 시스템이 조작된 잔액을 정당한 것으로 받아들여 공격자가 유동성 풀과 브리지 컨트랙트에서 가치를 빼낼 수 있었던 것입니다.
이번 사고는 커스텀 가상 머신 구현과 캐싱 계층이 표준 감사에서 항상 다뤄지지 않는 공격 표면을 만들어내는 모듈형 블록체인 아키텍처의 반복되는 주제를 부각시킵니다. MoveVM 기반의 상호 연결된 롤업 생태계를 표방하는 Initia는 이제 자사의 최적화가 핵심 안전 불변 조건과 어떻게 상호작용했는지에 대한 면밀한 검토에 직면해 있습니다.
업계 시사점
이번 익스플로잇은 오늘날 DeFi 환경의 세 가지 구조적 위험을 강조합니다:
- VM 계층의 복잡성: 체인이 포크되고 실행 환경을 커스터마이즈함에 따라 감사 범위가 확장됩니다. 성능을 위해 도입된 캐싱 최적화가 합의 수준의 취약점이 될 수 있습니다.
- 교차 자산 담보화: 담보 없는 WETH 및 스테이블코인 유사 자산의 발행은 브리지와 대출 시장을 뒷받침하는 신뢰 가정을 훼손합니다. 담보 없는 자산이 유통되면 연결된 롤업 전반의 풀을 오염시킬 수 있습니다.
- 사고 대응 속도: 프로토콜 전체의 유출이 아닌 약 270만 달러 수준에서 손실을 억제할 수 있었다는 점은 모니터링 및 일시정지 역량이 성숙해지고 있음을 보여주지만, 그러한 통제가 분산화되어야 하는지에 대한 의문도 제기합니다.
향후 전망
Initia의 공개는 VM 수준 코드의 형식 검증과 가치가 시스템을 빠져나가기 전에 상태 이상을 포착하는 실시간 불변 조건 모니터링에 대한 수요를 가속화할 가능성이 높습니다. 더 넓은 모듈형 생태계にとって, 이번 사건은 상호운용성이 유용성과 전염성을 동시에 증폭시킨다는 점을 상기시킵니다. 하나의 실행 계층에 있는 결함이 공유 유동성을 통해 전파될 수 있습니다.
투자자와 개발자는 스크립트 캐시 설계가 재설계될지, 그리고 피해 사용자에게 전액 보상이 이루어질지를 포함한 상세한 개선 계획을 주시해야 합니다. 이번 사고는 또한 보험형 보장과 커스텀 VM 수정 사항을 다루는 더 엄격한 감사 기준에 대한 명분을 강화할 수 있습니다. 이는 업계가 역사적으로 과소 투자해 온 영역입니다.
