DxSale에서 BNB Chain 유동성 공급자들로부터 약 $730만이 탈취되면서, 오래된 DeFi 락커 컨트랙트에 대한 우려가 다시 불거지고 있다.
밈코인 런치 플랫폼 DxSale가 사이버 공격으로 $730만 상당의 자금을 빼앗겼으며, 이번 공격은 BNB Chain의 약 1,400개 유동성 공급자(LP)에게 피해를 입혔다.
블록체인 데이터 플랫폼 PeckShield가 금요일 X에 게시한 내용에 따르면, 공격자 주소 "0xC457"은 $187만 상당의 BNB(BNB) 토큰을 두 개의 주요 지갑으로 이체한 뒤, 이를 여러 Binance 입금 주소에 분산 예치했다.
DxSale은 2021년 BNB Chain에서 출시된 토큰의 유동성을 잠그는 용도로 사용됐다. 블록체인 분석가 Tahax는 해당 락커에 수년 전 프로젝트들의 유동성이 여전히 남아 있다고 추정하며, 익스플로잇에 사용된 지갑은 새로 생성된 것으로 암호화폐 거래소 Bybit을 통해 자금이 조달됐다고 설명했다.
데이터 집계 플랫폼 DefiLlama에 따르면, 이번 익스플로잇은 DeFi 해킹에 대한 재차 높아지는 우려에 더해졌다. 5월 현재까지 DeFi 해킹 피해액은 $5,200만으로, 지난 1년여 만에 최고치를 기록하며 2025년 2월 이후 최대 수준에 달했던 4월의 $6억 3,400만에 비해서는 줄어든 수치다.
사이버 공격이 잇따르면서 DeFi 전반의 안전성에 대한 광범위한 우려가 제기되고 있으며, 악의적인 행위자들의 AI 활용 증가도 그 배경 중 하나로 꼽힌다. 블록체인 보안 플랫폼 OpenZeppelin의 창업자 Manuel Aráoz는 화요일 "이제 나는 DeFi *전체*가 안전하지 않다고 본다"며 스마트 컨트랙트 취약점을 식별하는 AI의 능력이 갈수록 고도화되고 있다는 점을 그 이유로 들었다.
*출처: PeckShield*
**DxSale 피탈 자금, 이미 추적 불가 상태: 온체인 분석가**
Tahax에 따르면, 공격자는 이미 일부 자금을 추적을 어렵게 만들 수 있는 인프라를 통해 이동시킨 상태다.
이 분석가는 DxSale 배포자가 269일 전에 락커 컨트랙트의 소유권을 새 지갑으로 조용히 이전했다며, 공식적인 마이그레이션 공지 없이 "백도어가 남겨진" 것이라고 주장했다.
*출처: Tahax*
분석가는 컨트랙트 소유권이 대규모 BNB 출금을 시작한 지갑 '0xC45'에 최종적으로 귀착되기까지, 난독화를 위해 소유권을 연속적으로 이전한 80건의 온체인 거래 흔적을 제시했다.
관련 기사: 미스터리 비트코인 소각, 약 $850만 상당 107 BTC 소멸
Web3 보안 플랫폼 Coinsult는 금요일 X에 게시한 글에서, 배포자 컨트랙트의 백도어와 소급 적용된 잠금 기능이 결합돼 해커가 출금 루프를 악용하고 BNB 토큰을 빼낼 수 있었다고 설명하며 다음과 같이 덧붙였다.
"권한 있는 setFee 기능과 소급 적용된 잠금이 결합되어 '잠긴' 예치금이 출금 가능한 잔액으로 전환됐다."
Cointelegraph는 이번 익스플로잇과 최종 피해 유동성 공급자 수에 대해 DxSale 측의 입장을 요청했다.
이번 익스플로잇은 DefiLlama가 집계한 암호화폐 익스플로잇 총 피해액 $170억 이상에 더해졌으며, 이 중 DeFi 프로토콜 피해액은 약 $78억에 달한다.