Fetch.ai 전환 컨트랙트 익스플로잇으로 201만 달러 탈취, 공격자는 NuNet과 연관
TREE NEWS 보도: Fetch.ai가 운영하는 이더리움상의 전환 컨트랙트가 익스플로잇되어 약 201만 달러 상당의 암호화폐 자산이 손실되었다. 온체인 보안 플랫폼 Blockaid는 취약한 컨트랙트를 TokenConversionManagerV3로 식별했으며, 유효한 전환 권한을 보유한 외부 소유 계정(EOA)에 의해 자금이 탈취되었다고 밝혔다. 공격자의 주소는 Fetch.ai 생태계 내 탈중앙화 컴퓨팅 프로젝트인 NuNet과 연관되어 있다.
익스플로잇 전개 과정
Blockaid에 따르면, 공격자는 정당한 전환 권한을 이용해 익스플로잇을 실행했다. TokenConversionManagerV3 컨트랙트는 Fetch.ai의 네이티브 토큰인 FET를 서로 다른 블록체인 네트워크 간에 전환하는 것을 지원하도록 설계된 것으로, 이 프로젝트의 멀티체인 전략에서 핵심 인프라의 일부다. 공격자는 키 탈취, 피싱 공격, 또는 권한 로직의 결함 등 어떤 경로로든 유효한 권한을 획득함으로써 즉각적인 경보를 발생시키지 않고 자금을 탈취할 수 있었다.
NuNet과의 연관성은 특히 우려된다. NuNet은 탈중앙화 컴퓨팅 자원에 초점을 맞춘 Fetch.ai 생태계 내 자매 프로젝트다. 공격자의 주소가 NuNet과 연관되어 있다면, 이는 내부자 위협, 팀 구성원의 침해, 또는 단일 컨트랙트를 넘어선 광범위한 보안 침해를 시사할 수 있다.
업계에 대한 시사점
이번 사건은 DeFi에서 크로스체인 전환 메커니즘과 권한 시스템이 직면한 지속적인 위험을 부각시킨다. 전환 컨트랙트는 종종 상당한 유동성을 보유하고 신뢰된 역할이나 오프체인 서명에 의존하기 때문에 매력적인 표적이 된다. 공격자가 유효한 권한을 사용했다는 사실은 이 익스플로잇이 순수한 스마트 컨트랙트 버그보다는 운영 보안 실패로 인해 가능해졌을 수 있음을 시사한다.
- 권한 관리가 핵심: 프로젝트는 코드뿐만 아니라 키 관리, 역할 할당, 오프체인 서명 프로세스도 감사해야 한다.
- 크로스체인 브리지와 컨버터는 여전히 고위험: 이러한 구성 요소는 유동성을 집계하고 종종 복잡한 신뢰 가정을 가지므로 빈번한 표적이 된다.
- 생태계 전염: NuNet과의 연관성은 단일 침해 주소가 상호 연결된 생태계 내 여러 프로젝트를 오염시킬 수 있음을 보여준다.
향후 전망
Fetch.ai는 아직 상세한 포스트모템을 발표하지 않았지만, 이번 사건은 다중 서명 요건, 시간 잠금 전환, Blockaid 같은 보안 업체의 실시간 모니터링 등 더욱 견고한 권한 프레임워크에 대한 요구를 가속화할 가능성이 높다. 더 넓은 DeFi 부문에 있어 이 익스플로잇은 감사된 컨트랙트조차 특권 접근이 오용될 경우 우회될 수 있음을 상기시켜 준다. 투자자와 사용자는 Fetch.ai와 NuNet의 추가 공개, 그리고 탈취된 자금의 온체인 이동을 주시해야 하며, 이는 공격자의 신원과 의도에 대한 단서를 제공할 수 있다.
