Ankr Bridge 익스플로잇으로 서명 검증 결함 드러나
TREE NEWS 보도: SlowMist의 보안 분석에 따르면 Ankr의 크로스체인 브리지가 공격을 받아 약 304,500달러의 손실이 발생했습니다. 공격자는 브리지의 신뢰받는 합의 서명자들이 모두 유효한 서명을 한 5개의 위조 크로스체인 영수증을 제출했습니다. 각 영수증은 동일한 정당한 Optimism 트랜잭션을 참조했지만 수취인, 토큰, 출금 금액이 변경되었습니다. 출금 기능은 소스 체인의 실제 이벤트를 독립적으로 검증하지 않고 자산을 방출했습니다. 무단 서명의 출처는 여전히 조사 중이며, 서명자가 침해되었는지는 확인되지 않았습니다.
공격 전개 과정
이번 익스플로잇은 브리지 설계의 치명적인 약점을 부각시킵니다. 즉, 온체인 검증 없이 오프체인 서명자에 의존하여 크로스체인 메시지를 검증하는 것입니다. 공격자는 단일 유효한 Optimism 트랜잭션 해시를 재사용함으로써 브리지의 스마트 컨트랙트에 정당해 보이는 여러 사기성 청구를 생성할 수 있었습니다. 컨트랙트의 출금 로직은 서명된 영수증을 암묵적으로 신뢰하여 소스 체인 상태를 교차 확인하지 못했습니다. 이로 인해 공격자는 최소한의 노력으로 자금을 빼낼 수 있었습니다.
업계 시사점
크로스체인 브리지는 복잡한 신뢰 가정과 보유한 대규모 유동성 풀 때문에 여전히 공격자의 주요 표적입니다. Ankr 사건은 크로스체인 메시지가 실제 온체인 이벤트에 대응하도록 보장하기 위해 라이트 클라이언트 검증이나 영지식 증명과 같은 강력한 검증 메커니즘의 필요성을 강조합니다. 또한 키 관리와 서명자 보안에 대한 의문도 제기합니다. 서명자의 개인 키가 침해되었다면 더 광범위한 운영 보안 실패를 시사할 수 있습니다. 그렇지 않더라도 위조 영수증이 서명되었다는 사실은 서명 프로세스나 브리지의 합의 메커니즘에 결함이 있음을 시사합니다.
향후 전망
조사가 계속됨에 따라 이번 사건은 더 안전한 브리지 아키텍처의 채택을 가속화할 가능성이 높습니다. 프로젝트들은 공유 보안 네트워크나 경제적 페널티가 있는 분산형 검증자 세트와 같은 모듈형 보안 솔루션으로 점점 더 전환할 수 있습니다. Ankr의 경우 신뢰를 회복하려면 철저한 사후 분석과 경우에 따라 크로스체인 검증 프로세스의 재설계가 필요합니다. 사용자는 공식 채널을 통해 업데이트를 모니터링하고 브리지된 자산과 관련된 위험을 고려할 것을 권장합니다. 더 넓은 DeFi 생태계는 이번 사건에서 교훈을 얻고 유사한 익스플로잇을 방지하기 위해 보안 감사와 실시간 모니터링을 우선시해야 합니다.
