밸런스드 공격 사후 분석 (공식 / 2023. 6)

 

 

 

밸런스드 DEX는 6월 24일 스마트 컨트랙트 악용을 통해 공격을 받았습니다.

 

해커는 sICX/bnUSD, BTCB/bnUSD, sICX/BTCB 및 BALN/sICX 유동성 풀에서 자산을 빼내는데 성공했습니다. 이 중 일부는 회수가 가능했으며, 다른 풀은 직접적인 영향을 받지 않았고, 대출에 관련된 보관 담보들은 그대로 잘 유지되고 있습니다.

 

비록 그 금액이 상당하고, 정확한 수치는 여전히 계산 중이지만, DAO 기금은 모든 사람을 온전하게 만들기에 충분한 자금을 보유한 것으로 보이며. 밸런스드 사용자들은 DAO가 잘 자본화되어 있기 때문에 재정적 손실을 입지 않을 것입니다.

 

* DAO 기금: DAO(탈중앙 분산화된 자율 조직) 밸런스드 내 일어나는 수수료 중 일부를 모아서, 밸런스드의 발전을 위해 또는 해킹이나 문제가 있을 때를 대비해서 모으며, 이 기금은 BALN(쉽게 밸런스드의 지분) 토큰을 가진 사람들에 의해 사용처가 제안되고 투표를 통해 승인됩니다.

 

 

 

 

 

 

어떻게 된 일입니까?

6월 24일 21:13 UTC부터(블록 높이 67534662와 67545900 사이) 해커가 LP 토큰 전송 기능의 결함을 악용했습니다.  LP 토큰을 자신의 주소로 전송하면 자체 전송된 금액을 기준으로 지갑이 보유한 LP 토큰의 양을 늘렸습니다.

공격자는 LP 토큰을 직접 발행하여 자신의 것이 아닌 유동성 물량을 회수한 다음, 바이낸스 스마트 체인 기반(BTCB; ETH; 스테이블 안정화 기금의 BUSD)에 연결할 수 있는 자산으로 최대한 전환할 수 있었습니다.

 

또한 ICX 스왑을 사용하여 많은 자금을 ICX로 스왑했습니다.

 

현재, bnUSD 페그가 깨진 것처럼 보이지만 이는 단순히 공격자의 불규칙한 거래로 인해, 거래소내에서 비합리적인 가격이 책정되었기 때문입니다. bnUSD는 여전히 과잉 담보 상태이며 페그는 원래대로 돌아갈 것입니다.

 

 

 

 

 

 

핵심 커뮤니티(&개발자)의 대응

 

이 문제는 bnUSD(스테이블 코인)가 95%까지 페그에서 벗어났다는 것을 알게 된 밸런스드 커뮤니티 회원에 의해 처음 보고되었습니다. 그들은 또한 거래 데이터에 기록된 금액이 실제 받은 금액보다 훨씬 더 많은 거래와 일치하지 않음을 보고했습니다.

 

 

생태계 참여자들은 다음과 같은 조치를 취했습니다.

 

- 밸런스드 스마트 컨트랙트를 오프-라인으로 변환하였습니다. (기능 일시정지)
- bnUSD, BALN, sICX 전송 중단.
- ICON Bridge를 통한 거래 정지.
- 입금 정지를 위해 여러 거래소들에 연락.
  바이낸스 - 정지
  Kucoin - 정지 (또한 공격자의 계정 동결)
  크라켄 - 정지
  ByBit - 연락
  OKX - 연락

 

- 커뮤니티에 알림
- FYEO (감사업체) 통보

 

 

 

 

 

 

얼마나 손상을 입었습니까?

 

공격자가 유동성 풀에서 인출한 총 금액은 다음과 같습니다.

 

1,302,817 bnUSD
3,765,291 sICX
4,314,543 BALN
7 BTCB

 

이 중 많은 부분이 프로토콜 소유의 유동성(POL)이었고 일부는 다른 토큰과 교환하여 풀에 다시 판매된 상태입니다.

 

* 프로토콜 소유의 유동성(POL) 물량: 밸런스드는 DEX이며, 사람들의 스왑을 쾌적하게 하기 위해 DAO 펀드를 이용해 밸런스드 자체가 소유하는 유동성 물량을 보유하고 있었습니다.

 

 

 

우리는 공격자의 지갑 에서 복구 가능한 일부 자산을 동결할 수 있었습니다 .

 

469,525.82 bnUSD
733,550.30 sICX
4,006,113.25 BALN

 

 

 

또한, ICON 네트워크 검증인(P-Rep / 벨리데이터)은 현재 약 210만 ICX를 보유하고 있는 공격자의 계정을 블랙리스트에 추가하기 위해 신속하게 투표를 실시했습니다. DAO의 경우 복구하기가 더 어려울 것이지만, ICON 검증인의 합의로 복구할 수 있을 것으로 보입니다. 이 조치를 취한 이후로 ICX 전송을 재개하라는 경고가 거래소에 전달되었습니다.

 

 

 

동결된 자금을 제외한 풀에서 인출된 순 금액은 다음과 같습니다.

 

833,291.18 bnUSD
3,031,740.70 sICX
308,429.75 BALN
7 BTCB

 

 

도난당한 유동성의 대부분은 프로토콜 소유(POL)였으며 DAO는 이를 회수하지 않을 것입니다. 대신 DAO의 남은 자산을 사용하여 사용자들의 피해 자금을 온전히 보충할 것입니다.

 

우리는 모든 사용자의 위치가 온전히 돌아갈 것으로 예상합니다.

 

 

 

 

 

 

 

다음에 어떻게 됩니까?

다음 우선 순위는 밸런스드를 다시 온-라인 상태로 정상적으로 만드는 것입니다. 우리는 1주일 이내에 그렇게 되기를 원하고 있습니다. 커뮤니티를 계속 업데이트할 것이며. 이 과정에는 다음 작업들이 수반됩니다.

 

 

- 공격자로부터 bnUSD, BALN, sICX를 회수.
- 프로토콜 소유 유동성(POL)을 뺀, 공격 전 보유 잔액과 일치하도록 유동성 풀 잔액을 조정하여 모든 사용자들을 온전하게 만듭니다.
- 공격자가 가치 있는 자산을 보유하고 있지 않은지 추가적으로 확인.
- DEX 컨트랙트에 대한 수정 사항 적용.
- 밸런스드에서 작업 재개

 

 

이 어려운 시기에도 여러분의 인내와 지원에 감사드립니다.

밸런스드 블로그에서도 가능한 한 더 많은 소식들을 공유할 예정이지만, 최신 개발 사항들을 확인하기 위해서는 밸런스드 디스코드 채널에 가입을 권합니다.

 

 

 

출처: https://gov.balanced.network/t/balanced-exploit-post-mortem-june-2023/993