Troves Vault, Starknet에서 익스플로잇으로 8.6 BTC 유출
TREE NEWS 보도: Starknet 기반 DeFi 수익률 전략 플랫폼 Troves는 10월 31일 xWBTC/WBTC Vault가 익스플로잇되어 초기 약 8.6 BTC의 손실이 발생했다고 공개했다. 플랫폼은 3개의 Vault를 일시 중지했으며 탈취된 자금을 적극적으로 추적하고 있다.
플랫폼의 예비 조사에 따르면, 이번 공격에는 교체되었지만 여전히 활성 상태인 컨트랙트가 관여했으며, 이를 통해 공격자가 Vault의 내부 회계를 조작하고 자산을 빼낼 수 있었다. Troves는 아직 전체 사후 분석 보고서를 공개하지 않았지만, 자금 회수를 위해 보안 업체 및 온체인 분석가들과 협력하고 있음을 확인했다.
기술적 분석
이번 익스플로잇은 DeFi에서 반복적으로 나타나는 취약점을 부각시킨다. 즉, 권한을 그대로 보유하거나 활성 Vault와 상호작용하는 구식이거나 부적절하게 폐기된 스마트 컨트랙트 문제다. 이번 사례에서 교체된 컨트랙트는 Vault 자금으로 이어지는 경로를 유지한 것으로 보이며, 이를 통해 공격자가 의도된 보호 장치를 우회할 수 있었다.
Troves의 xWBTC/WBTC Vault는 자동화된 전략을 통해 래핑된 비트코인에서 수익을 창출하도록 설계되었다. 8.6 BTC(현재 가격 기준 약 60만 달러 상당)의 손실은 Vault의 총 예치 자산(TVL)에서 상당한 비중을 차지하지만, 플랫폼은 정확한 TVL 수치를 공개하지 않았다.
업계 시사점
이번 사건은 특히 Starknet과 같은 신흥 레이어2 네트워크에서 운영되는 DeFi 수익률 애그리게이터의 지속적인 리스크를 강조한다. Starknet은 확장성 이점을 제공하지만, 컨트랙트 간 상호작용의 복잡성과 일부 도구의 미성숙은 공격 표면을 증가시킬 수 있다.
- 스마트 컨트랙트 위생: 프로토콜은 폐기된 컨트랙트가 완전히 비활성화되어 활성 시스템과 상호작용할 수 없도록 보장해야 한다.
- 감사 및 모니터링: 사용자 자금을 보유한 Vault에는 지속적인 보안 검토와 실시간 이상 탐지가 필수적이다.
- 보험 및 안전장치: 이번 사건은 사용자 보호를 위한 온체인 보험이나 트레저리 기반 안전 모듈에 대한 요구를 다시 불러일으킬 수 있다.
더 넓은 DeFi 생태계는 2023년 다양한 체인에서 10억 달러를 초과하는 손실을 동반한 익스플로잇 물결을 겪었다. Starknet은 주요 사건으로부터 상대적으로 격리되어 있었지만, 이번 공격은 어떤 네트워크도 면역이 없다는 점을 상기시킨다.
향후 전망
Vault를 일시 중지하고 자금을 추적하는 Troves의 대응은 표준적이면서도 핵심적인 조치다. 플랫폼의 자금 회수 능력은 공격자의 자산 이동과 중앙화 거래소 및 브리지와의 협력에 달려 있다. 장기적으로 이번 사건은 Starknet의 DeFi 생태계에서 형식 검증과 모듈형 보안 프레임워크의 채택을 가속화할 수 있다.
사용자에게 핵심적인 시사점은 프로토콜 전반에 걸쳐 노출을 분산하고 보안 공개 정보를 모니터링하는 것이다. 개발자에게 이번 익스플로잇은 스마트 컨트랙트의 수명 주기 관리에 관한 경고의 사례다. DeFi가 성숙해짐에 따라 엄격한 운영 보안은 혁신적인 수익률 전략만큼이나 중요해질 것이다.
