여러 추측들이 오가는중
1. 권한검증 이슈
2. 프라이빗키 털림
3. 모종의 숨어있던 컨트랙트 취약점

현재 공격당한 프로젝트 리스트

이더리움: balancer, 70m
베이스: balancer, 3.9m
폴리곤: balancer, 117k
소닉: beets, 3.4m
아비트럼: balancer, 5.9m
옵티미즘: beethoven, 283k
+베라허브?

아직 확인되지는 않았지만 빠르게 공격자 컨트랙트 분석해주셨습니다

피해액이 빠르게 늘어나고 있네요.. 밸런서 단순 포크가 많았던지라 트잭보고 따라서 공격하는 2차피해가 발생하고 있는 것 같습니다. 이러다 다죽어

스티브님 뜬금없지만

펭구 부산 밋업갔는데 포필러스 펭구 메가리포트가 있더라구요. 쉐릴이 제가 뭘 설명할 때마다 리포트를 펼치고 해당 내용이 나오는 페이지를 딱딱 찾아서 펴는데 정말 닳도록 읽은 티가 났습니다.

팀들도 외울 정도로 읽게 만드는 포필라스의 메가리포트 내공을 다시금 느꼈습니다

소닉(구 팬텀)은 이번 밸런서 해킹사고에 대한 조치로 임의의 지갑 내 네이티브 토큰 $S를 동결시켜버리는 함수를 체인 단에서 추가시켜버렸군요 ㄷㄷ

https://x.com/setteech/status/1985323623784054883?s=46

zachxbt는 베라체인의 포크 결정에 옹호하는 뉘앙스의 트윗을 남기는 의외의 모습을 보였네요. 시간이 사람을 확실히 바꿔놨구나 싶은.. 옛날 먼처블 사건때의 블라스트에 대한 분위기가 생각나기도 합니다.

이번 사고는 여러모로 곁다리에 남긴 것들이 많아서 글로 빠르게 정리해봐도 좋을 것 같네요.

https://x.com/zachxbt/status/1985298007555014865?s=46

Stream Finance Depeg

우려했던 바와 같이 xUSD 디페깅이 발생하기 시작했고, 아래와 같은 이유로 완벽히 해소되었다고 보기 어렵습니다.
- xUSD의 디페깅에 의한 강제 청산 위험이 있고
- 레버리지의 대출요율이 오름에 따른 청산 위험도 있어 보입니다.
- 현재 Stream Finance는 $220M 이상의 xUSD 레버리지 포지션을 가지고 있습니다.
- 무엇보다 운영자의 디레버리징 의지를 찾기 어렵습니다. (계속 자책하다가 지금 잠수탐)

- 현재 덱스 풀 유동성은 100K-200K 정도 남아있습니다.
- 현재 밀린 출금 요청 건이 $10M 이상입니다.
- xUSD 노출이 있는 Euler Earn - TelosC 풀은 안전탈출하시길 바랍니다.(이미 늦었나..)

많은 사람들이 오해하는 사실이 있는데,

xUSD은 스테이블코인 프로젝트가 아닙니다.
Stream Finance라는 회사가 운용하는 고수익 고위험 투자상품의 지분 토큰입니다.

지금 덱스시장에서 xUSD에 대한 '디페깅'이 일어나고 있지만 "스테이블코인"에 대한 디페깅이 아니라 실제로 USD 배킹이 완벽하다는 전제하에 원래 가격보다 싸게 거래되는 디페깅입니다.
근데 만약 그 돈이 충분치 않다면...??

온체인 펀드에 돈을 넣을 때는 이 친구들이 어떻게 운용하는지 잘 살피고 돈을 넣어야합니다.
하지만 그게 현실적으로 쉽지는 않죠. 온체인도 엄청 복잡하게 연결되어있고 온체인이 아닌 곳으로도 돈이 흘러가기 때문이에요.
그래도 돈을 넣을거라면 최대한 공개적으로 포지션을 밝히고 있는 곳에 넣는 것이 맞다고 생각합니다.

참고로 스트림은 온체인 공개를 꺼려했었던 애들임...

분위기 보니 xUSD관련 포지션 들고계신 분은 없는 것 같아 이정도로 하겠습니다 피곤하네요
12시에 fraction ai 민팅하고 잘랬는데 지금 그냥 자고 아침에 해야겠어요...

이런 해킹이나 익스플로잇 사건사고가 요 며칠 참 잦아보이는데...

사실 알게모르게 매달 신나게 열심히 털리고 있었답니다.

디파이라마에서 각 사건들을 쭉 훑어볼 수 있어요.

https://defillama.com/hacks

사실 디파이라마에 올라오는 것도 일부분이긴 한데..

https://blocksec.com/security-incident

지금은 여기가 그나마 많은 케이스를 커버하고 있네요.

올해 5월 이전 익스플로잇 케이스들은

https://lumos.chainlight.io/

여기가 제일 많이 커버하고 있습니다.

[문웰, 익스플로잇 노출…$100만 피해]
웹3 보안업체 서틱(CertiK)이 X를 통해 “베이스(BASE) 기반 탈중앙화 암호화폐 대출 프로토콜 문웰(WELL)이 익스플로잇(취약점 공격)에 노출됐다. 공격자는 0.02 wrstETH를 플래시론에 예치하고 20 wstETH을 반복적으로 대출 받을 수 있었다. 해당 공격은 wrst 값을 반환하는 오라클에 문제가 있었기 때문인 것으로 보인다. 공격자는 이를 통해 총 295 ETH(100만 달러)를 챙겼다”고 전했다.
https://coinness.com/news/1142409

써틱에서 올린 트랜잭션 트레이스 이미지 상으로는 그냥 체인링크 오라클에서 wrstETH에 말도안되는 가격을 반환해서 생긴 공격이긴 하네요. 문웰의 컨트랙트 로직상 문제로 발생한 공격은 아닌 것 같습니다.

https://x.com/CertiKAlert/status/1985620452992253973/photo/1

DWF Labs는 북한의 AppleJeus의 의심되는 공격으로 인해 최소 4,400만 달러의 손실을 입은 것으로 알려졌습니다. —🔗link

메가이더 세일의 정확한 할당량은 오늘 밤에 나오지 않을 것 같네요. 계정들을 반복 체크하면서 할당량을 조절하고 있다고 합니다.

오늘은 할당에 대한 책정 방식과 할당량 분포 정도만 공개될 것 예정이고, 내일 할당량이 나올 것이라고 하네요.

비탈릭이 "스테이지 1 옵티미스틱 롤업의 챌린지 기간은 1-2일 정도로 짧아도 괜찮은 것 같다"는 주장을 들고 나왔습니다.

그동안 옵티미스틱 롤업들은 이더리움에 대한 강한 검열 공격에 대비, {검열 탐지 ~ 이더리움 포크 관련 조치} 등에 걸리는 시간을 고려해 7일의 출금 지연(챌린지) 기간을 갖는게 맞다는 컨센을 가져왔습니다. (참고)

하지만 긴 출금지연으로 인해 공식 브릿지보다 유동성 풀 기반 써드파티 브릿지를 사용하는게 디팩토가 되어버렸고, 차라리 출금에 소요되는 기간을 줄여서 공식 브릿지의 사용성을 높이는게 생태계 전체의 탈중앙화+유동성 활용에 더 도움이 될 것 같다는 것이 비탈릭의 주장입니다. (security council에 대한 강한 신뢰의존성은 덤으로..) +일반적인 출금 기간은 1-2일 정도로 두고, security council에서 긴급상황시에는 지연을 걸 수 있도록 하는게 어떻냐는 제안을 했네요.

하지만 오히려 스테이지2 롤업은 7일을 고수하는게 맞다고 하는데.. 스테이지2 옵티미스틱 롤업 만들바에 그냥 zk(혹은 하이브리드)로 피벗하라고 말하는 것 같네요. 썩싱트 up

강검열 공격에 대한 스탠스가 예전보다 좀 유해진 것 같아 의외네요.

https://ethereum-magicians.org/t/i-think-its-ok-to-allow-stage-1-rollups-shorter-withdrawal-windows-1-2-days-but-we-should-be-more-conservative-on-stage-2/26392

L2Beat에서 표기되는 L2들의 총 액티비티를 보면, 10월부터 기존 약 200 TPS에서 약 4,480 TPS로 거의 20배로 증가한 수치를 보여주고 있습니다.

이는 라이터(Lighter)의 TPS가 통계에 잡히기 시작했기 때문인데요. CLOB 앱체인인 라이터는 현재 거의 4,200 TPS를 처리하고 있으며, 기존 1등이었던 베이스의 25배가 넘는 수치입니다.

라이터는 altDA가 아닌 이더리움 블롭에 데이터를 올림에도 불구하고 평균 4K가 넘는 TPS를 달성하고 있는데, 그럴 수 있는 이유는 라이터가 상태 차이 롤업인 동시에 앱체인 구조를 택하고 있기 때문입니다.

1/ 상태 차이 롤업

트랜잭션 데이터 전부를 압축해서 L1에 제출하는 아비트럼이나 오피스택 롤업들과 달리, 지케이싱크 / 스타크넷 / 라이터와 같은 롤업들은 각 트랜잭션이 생성하는 '상태 차이'만을 제출합니다. 이 상태 차이 데이터는 일반적으로 트랜잭션 데이터보다 크기가 작기 때문에, 데이터 효율성 측면에서 매우 유리하죠.

옵티미스틱 롤업은 챌린지 프로세스를 위해 트랜잭션 데이터 전부가 필요하지만, ZK 롤업은 상태 차이만 있어도 ZK 증명을 검증해낼 수 있다는 점에서, ZK 롤업만의 독특한 어드밴티지라고 볼 수 있을 것 같습니다.

2/ 앱체인 구조

라이터는 현물/선물 오더북 거래만을 지원하는 앱체인이기 때문에, 굳이 EVM을 차용할 필요가 없습니다. 이에 따라 상태 차이 등 L1에 올라갈 데이터의 구조도 EVM보다 더 간결하게 구성할 수 있으며, 여기서 추가적인 데이터 효율성을 얻을 수 있는 것으로 보이네요.

이를 기반으로 라이터는 베이스보다 20배 적은 데이터로도 25배 많은 TPS를 달성합니다. 셀레스티아나 아이겐 DA 같은 alt DA 솔루션을 쓰지 않고 이더리움으로도 이만큼의 확장성을 낼 수 있다는 것이 매우 인상적이네요.

다만 라이터는 아직 보안적으로 부족합니다. 일반적인 업그레이드에는 21일 딜레이가 걸려 있지만, 3/5 멀티시그가 '긴급한 상황에' 컨트랙트를 즉시 업그레이드할 수 있기 때문에, 이론적으로 멀티시그가 자산을 모두 훔칠 수 있습니다. 이에 L2Beat에서는 라이터를 Stage 0로 표기하고 있죠.

아무튼 라이터의 경우에는 아마도 ZK 증명 생성 속도가 병목이지 않을까 생각되는데, ZK 기술도 매우 빠르게 발전하고 있기 때문에 앞으로 더 많은 처리량을 달성할 수 있지 않을까 싶네요. 앞으로 이렇게 효율적인 앱체인들이 많이 등장했으면 좋겠습니다.

출처