manageUserBalance(tuple[] ops)에 권한검증 관련 취약점이 있나보네요 (그냥 대충 뜯어보고나서 추측)

여러 추측들이 오가는중
1. 권한검증 이슈
2. 프라이빗키 털림
3. 모종의 숨어있던 컨트랙트 취약점

현재 공격당한 프로젝트 리스트

이더리움: balancer, 70m
베이스: balancer, 3.9m
폴리곤: balancer, 117k
소닉: beets, 3.4m
아비트럼: balancer, 5.9m
옵티미즘: beethoven, 283k
+베라허브?

아직 확인되지는 않았지만 빠르게 공격자 컨트랙트 분석해주셨습니다

피해액이 빠르게 늘어나고 있네요.. 밸런서 단순 포크가 많았던지라 트잭보고 따라서 공격하는 2차피해가 발생하고 있는 것 같습니다. 이러다 다죽어

스티브님 뜬금없지만

펭구 부산 밋업갔는데 포필러스 펭구 메가리포트가 있더라구요. 쉐릴이 제가 뭘 설명할 때마다 리포트를 펼치고 해당 내용이 나오는 페이지를 딱딱 찾아서 펴는데 정말 닳도록 읽은 티가 났습니다.

팀들도 외울 정도로 읽게 만드는 포필라스의 메가리포트 내공을 다시금 느꼈습니다

소닉(구 팬텀)은 이번 밸런서 해킹사고에 대한 조치로 임의의 지갑 내 네이티브 토큰 $S를 동결시켜버리는 함수를 체인 단에서 추가시켜버렸군요 ㄷㄷ

https://x.com/setteech/status/1985323623784054883?s=46

zachxbt는 베라체인의 포크 결정에 옹호하는 뉘앙스의 트윗을 남기는 의외의 모습을 보였네요. 시간이 사람을 확실히 바꿔놨구나 싶은.. 옛날 먼처블 사건때의 블라스트에 대한 분위기가 생각나기도 합니다.

이번 사고는 여러모로 곁다리에 남긴 것들이 많아서 글로 빠르게 정리해봐도 좋을 것 같네요.

https://x.com/zachxbt/status/1985298007555014865?s=46

Stream Finance Depeg

우려했던 바와 같이 xUSD 디페깅이 발생하기 시작했고, 아래와 같은 이유로 완벽히 해소되었다고 보기 어렵습니다.
- xUSD의 디페깅에 의한 강제 청산 위험이 있고
- 레버리지의 대출요율이 오름에 따른 청산 위험도 있어 보입니다.
- 현재 Stream Finance는 $220M 이상의 xUSD 레버리지 포지션을 가지고 있습니다.
- 무엇보다 운영자의 디레버리징 의지를 찾기 어렵습니다. (계속 자책하다가 지금 잠수탐)

- 현재 덱스 풀 유동성은 100K-200K 정도 남아있습니다.
- 현재 밀린 출금 요청 건이 $10M 이상입니다.
- xUSD 노출이 있는 Euler Earn - TelosC 풀은 안전탈출하시길 바랍니다.(이미 늦었나..)

많은 사람들이 오해하는 사실이 있는데,

xUSD은 스테이블코인 프로젝트가 아닙니다.
Stream Finance라는 회사가 운용하는 고수익 고위험 투자상품의 지분 토큰입니다.

지금 덱스시장에서 xUSD에 대한 '디페깅'이 일어나고 있지만 "스테이블코인"에 대한 디페깅이 아니라 실제로 USD 배킹이 완벽하다는 전제하에 원래 가격보다 싸게 거래되는 디페깅입니다.
근데 만약 그 돈이 충분치 않다면...??

온체인 펀드에 돈을 넣을 때는 이 친구들이 어떻게 운용하는지 잘 살피고 돈을 넣어야합니다.
하지만 그게 현실적으로 쉽지는 않죠. 온체인도 엄청 복잡하게 연결되어있고 온체인이 아닌 곳으로도 돈이 흘러가기 때문이에요.
그래도 돈을 넣을거라면 최대한 공개적으로 포지션을 밝히고 있는 곳에 넣는 것이 맞다고 생각합니다.

참고로 스트림은 온체인 공개를 꺼려했었던 애들임...

분위기 보니 xUSD관련 포지션 들고계신 분은 없는 것 같아 이정도로 하겠습니다 피곤하네요
12시에 fraction ai 민팅하고 잘랬는데 지금 그냥 자고 아침에 해야겠어요...

이런 해킹이나 익스플로잇 사건사고가 요 며칠 참 잦아보이는데...

사실 알게모르게 매달 신나게 열심히 털리고 있었답니다.

디파이라마에서 각 사건들을 쭉 훑어볼 수 있어요.

https://defillama.com/hacks

사실 디파이라마에 올라오는 것도 일부분이긴 한데..

https://blocksec.com/security-incident

지금은 여기가 그나마 많은 케이스를 커버하고 있네요.

올해 5월 이전 익스플로잇 케이스들은

https://lumos.chainlight.io/

여기가 제일 많이 커버하고 있습니다.

[문웰, 익스플로잇 노출…$100만 피해]
웹3 보안업체 서틱(CertiK)이 X를 통해 “베이스(BASE) 기반 탈중앙화 암호화폐 대출 프로토콜 문웰(WELL)이 익스플로잇(취약점 공격)에 노출됐다. 공격자는 0.02 wrstETH를 플래시론에 예치하고 20 wstETH을 반복적으로 대출 받을 수 있었다. 해당 공격은 wrst 값을 반환하는 오라클에 문제가 있었기 때문인 것으로 보인다. 공격자는 이를 통해 총 295 ETH(100만 달러)를 챙겼다”고 전했다.
https://coinness.com/news/1142409

써틱에서 올린 트랜잭션 트레이스 이미지 상으로는 그냥 체인링크 오라클에서 wrstETH에 말도안되는 가격을 반환해서 생긴 공격이긴 하네요. 문웰의 컨트랙트 로직상 문제로 발생한 공격은 아닌 것 같습니다.

https://x.com/CertiKAlert/status/1985620452992253973/photo/1

DWF Labs는 북한의 AppleJeus의 의심되는 공격으로 인해 최소 4,400만 달러의 손실을 입은 것으로 알려졌습니다. —🔗link

메가이더 세일의 정확한 할당량은 오늘 밤에 나오지 않을 것 같네요. 계정들을 반복 체크하면서 할당량을 조절하고 있다고 합니다.

오늘은 할당에 대한 책정 방식과 할당량 분포 정도만 공개될 것 예정이고, 내일 할당량이 나올 것이라고 하네요.

비탈릭이 "스테이지 1 옵티미스틱 롤업의 챌린지 기간은 1-2일 정도로 짧아도 괜찮은 것 같다"는 주장을 들고 나왔습니다.

그동안 옵티미스틱 롤업들은 이더리움에 대한 강한 검열 공격에 대비, {검열 탐지 ~ 이더리움 포크 관련 조치} 등에 걸리는 시간을 고려해 7일의 출금 지연(챌린지) 기간을 갖는게 맞다는 컨센을 가져왔습니다. (참고)

하지만 긴 출금지연으로 인해 공식 브릿지보다 유동성 풀 기반 써드파티 브릿지를 사용하는게 디팩토가 되어버렸고, 차라리 출금에 소요되는 기간을 줄여서 공식 브릿지의 사용성을 높이는게 생태계 전체의 탈중앙화+유동성 활용에 더 도움이 될 것 같다는 것이 비탈릭의 주장입니다. (security council에 대한 강한 신뢰의존성은 덤으로..) +일반적인 출금 기간은 1-2일 정도로 두고, security council에서 긴급상황시에는 지연을 걸 수 있도록 하는게 어떻냐는 제안을 했네요.

하지만 오히려 스테이지2 롤업은 7일을 고수하는게 맞다고 하는데.. 스테이지2 옵티미스틱 롤업 만들바에 그냥 zk(혹은 하이브리드)로 피벗하라고 말하는 것 같네요. 썩싱트 up

강검열 공격에 대한 스탠스가 예전보다 좀 유해진 것 같아 의외네요.

https://ethereum-magicians.org/t/i-think-its-ok-to-allow-stage-1-rollups-shorter-withdrawal-windows-1-2-days-but-we-should-be-more-conservative-on-stage-2/26392