크로스체인 프로토콜 ZKLink, 78만 3천 달러 익스플로잇 피해
TREE NEWS 보도: 크로스체인 프로토콜 ZKLink가 보안 침해를 당해 약 78만 3천 달러의 손실이 발생했습니다. SlowMist에 따르면, 공격자는 프로토콜의 일시적 스토리지 처리 취약점을 악용해 배치 루트를 위조하고 무단 인출을 실행했습니다. 이 사건에는 최소 1 ETH가 포함되었지만, 전체 자산 내역은 아직 조사 중입니다.
공격 경과
이 익스플로잇의 핵심은 일시적 스토리지로, EIP-1153과 함께 도입된 비교적 새로운 EVM 기능으로 단일 트랜잭션 동안 데이터를 저렴하게 저장할 수 있게 합니다. SlowMist의 분석에 따르면 ZKLink의 구현은 일시적 스토리지에서 파생된 배치 루트를 적절히 검증하지 못해 공격자가 사기성 증명을 만들고 정당한 예치 없이 인출을 시작할 수 있었습니다.
일시적 스토리지는 임시 데이터의 가스 비용을 줄이기 위해 설계되었지만, 그 일시적인 특성은 미묘한 보안 가정을 도입합니다. 프로토콜이 ZK 롤업이나 크로스체인 메시징의 배치 검증과 같은 중요한 상태 전환에 일시적 스토리지에 의존하는 경우, 검증 로직의 작은 격차도 치명적일 수 있습니다.
업계 영향
이 사건은 보안 영향이 완전히 이해되기 전에 새로운 EVM 기능이 프로덕션 DeFi 시스템에 통합되면서 증가하는 위험을 강조합니다. ZKLink는 아직 상세한 사후 분석을 발표하지 않았지만, 이 공격 패턴은 다른 크로스체인 프로토콜이 일시적 스토리지 사용을 감사하도록 촉구할 가능성이 높습니다.
- 크로스체인 브리지는 여전히 주요 표적: 이 익스플로잇은 DeFi에서 총 수십억 달러를 유출시킨 브리지 및 상호운용성 해킹의 긴 목록에 추가됩니다.
- 감사 격차: 이 취약점은 감사된 프로토콜조차 최근 EVM 업그레이드로 도입된 엣지 케이스를 놓칠 수 있음을 시사합니다.
- 규제 당국의 감시: 손실이 증가함에 따라 규제 당국은 DeFi 인프라에 보안 표준을 부과하려는 노력을 가속화할 수 있습니다.
향후 전망
ZKLink는 전체 사고 보고서를 발표하고 복구 노력을 기울일 것으로 예상되지만, 온체인 공격자의 가명성으로 인해 반환은 불확실합니다. DeFi 개발자에게 주는 더 넓은 교훈은 분명합니다. 일시적 스토리지는 강력하지만 엄격한 검증이 필요합니다. 프로토콜은 다른 상태 변경 메커니즘과 동일한 주의를 기울이고 가능한 경우 형식 검증의 대상으로 삼아야 합니다.
크로스체인 활동이 증가함에 따라 업계는 확장성과 함께 보안 혁신을 우선시해야 합니다. 그때까지 사용자는 ZKLink의 공식 채널을 통해 업데이트를 모니터링하고 감사되지 않았거나 새로 업그레이드된 계약과 상호작용하는 위험을 고려하는 것이 좋습니다.
