진짜머리뜨겁네..

알림: 최근 익스플로잇에 대한 인시던트 보고서

ALEX 프로토콜은 최근 자금의 부분적인 손실로 이어진 익스플로잇을 경험했습니다. 공격을 조기에 탐지하고 억제하여 추가 영향을 최소화할 수 있었습니다.

공격자는 실패한 거래를 참조하여 자체 상장 기능의 검증 로직의 결함을 악용하여 악성 토큰이 검사를 우회하고 유동성 풀에서 자금을 이체할 수 있도록 했습니다. 핵심 문제는 현재 온체인 제한, 특히 스택에서 실패한 트랜잭션을 안정적으로 감지할 수 없다는 점에서 비롯됩니다.

즉각적인 대응:
- 적극적으로 복구를 추진하고 있습니다.
- 향후 유사한 공격을 방지하기 위해 취약점을 식별하고 패치했습니다.
- Google에서 포괄적인 보안 검토를 수행하는 동안 자체 목록 기능이 일시 중지되었습니다.
- 우리 팀은 보안 및 에코시스템 파트너와 긴밀히 협력하여 손실의 전체 범위를 추적하고 평가하고 있습니다.

조사가 완료되는 대로 전체 사후 검시가 발표될 것입니다.

https://x.com/ALEXLabBTC/status/1930971817738449002

그냥 짜놓은 검증 로직에 결함이 있었다는거 아니에요..?

ALEX 토큰 현황

- 현대 대부분 거래소 입출금 중단
- 빗썸은 $0.027, 해외 거래소에서는 $0.013에 거래중
- 문제는 DEX에 있는 ALEX는 현재 입금을 받아주는 거래소가 존재하지 않고, 따라서 이러한 상황이 지속된다면 유저들은 ALEX DEX에서 ALEX를 매도해야 하는데, 특히 만약 이전과 같이 LP가 도난당한 경우 사실상 처분 불능이 될 수 있는 상황

제가 기술 개발자는 아니라 혼선을 빚을까 따로 트랜잭션 정보는 공개하지 않겠지만, 계속 트랜잭션 뒤져보고 있는데 이미 ETH로 나간 것으로 보이는 물량이 꽤 있습니다. 알렉스 공식 트윗에는 공격을 조기에 탐지하고 억제하여 추가 영향을 최소화할 수 있었다고는 하는데, 솔직히 그 양이 얼마나 될지는 모르겠습니다. 알렉스 서지 투표한다고 일부러 개인 지갑으로 빼두신 분들도 있을텐데, 당장 처분이 어려워보입니다. 2번 연속 해킹인데 해킹 물량 90% 이상이 복구되거나 이런 케이스가 아니면 거래소에서 더 살려주기에도 쉽지 않을 것 같고... 컨트랙트 보다 보면, 동결한 것처럼 보이는 주소도 보이기는 해서.. 어떻게 풀릴지 더 지켜봐야 하겠습니다. 사후 보고서 나오는대로 소식 공유해드리겠습니다. 저도 알렉스 꽤나 갖고 있었는데 아닌 주말에 머리가 뜨겁네요..

그래도 대부분의 유저분들이 빗썸에 ALEX를 갖고 계실거라고 생각하는데, 물론 입출금이 오래 막혀서 가두리가 진행될 수도 있곘지만 현재 해외와의 가격 차이가 꽤 나는 만큼 이런 부분 유의하시어 전략 세우셔야 하겠습니다.

알렉스, 피해액 100% USDC 보상 예정

청구 절차 및 타임라인
알림 (2025년 6월 8일 23:59 UTC 기준): 영향을 받는 모든 지갑 주소는 클레임 양식이 포함된 비공개 알림(온체인)을 받게 됩니다.

제출 마감 (2025년 6월 10일 23:59 UTC): 청구 양식을 작성하고 수신 지갑 주소를 확인합니다.

누락된 통지 또는 질문
2025년 6월 8일 23:59(UTC)까지 청구 알림을 받지 못하거나 환급에 대해 질문이 있는 경우 즉시 support@alexlab.co 연락해 주십시오.

우리는 영향을 받는 모든 사용자의 자금(총 $ 8,373,227.13)을 가능한 한 빨리 복구하기 위해 최선을 다하고 있습니다.

https://x.com/ALEXLabBTC/status/1931005560083628081

알렉스 피해 보상안 공개

LP 제공 피해자들에게 100% 보상이 돌아갈 예정이라고 합니다.

추정 규모는 $8M 규모이고, 전액 보상이 가능하다면 최악의 경우까지는 안 갈 수도 있어보입니다. 사실 당연히 안 가기를 바랍니다.

디앱 규모 대비 작은 보상 규모가 아닌데, 일단 유저들을 위해서 힘쓰는 모습이 다행이라고 생각하고, 또 부디 USDC 보상안을 감당할 수 있는 방법이 대부분의 자금을 회수하는 방법이었으면 합니다. 그래도 정신 없는 와중에 빠르게 손실 규모와 보상안을 확정해서 정말 다행입니다.

https://x.com/ALEXLabBTC/status/1931005560083628081

알렉스 LP 복구 프로그램 신청

6/11일(수) 오전 9시 이전에 꼭 신청하세요!!!! 알렉스 LP 트래저리 그랜트 프로그램이 개시되었습니다. 비율은 아래와 같습니다. 빠른 보상을 위해 지갑 제출 기한도 타이트한만큼 LP 예치하신 분들은 보시자마자 신청하시기 바랍니다.

참여 방법
1. 신청: https://app.alexlab.co 로 접속
2. 지갑 연결: LP 탈취 피해를 입은 STX 지갑 & USDC를 수령할 ETH 지갑 연동
3. 보상 분배: 청구 신청 후 7 영업일 이내

STX
• USDC로 100% 적용 범위
• 환율: STX당 0.68 USDC

sBTC
• aBTC로 100% 커버리지
• 환율: sBTC당 1 aBTC

aBTC
• 75%가 aBTC(오리지널 토큰)로 반환됩니다.
• 25%는 aBTC당 102,734 USDC로 USDC로 전환

aUSD
• 91%가 aUSD(오리지널 토큰)로 반환됩니다.
• 9%는 USD 당 1.00 USDC로 USDC로 전환

https://x.com/ALEXLabBTC/status/1931704630154568041

근래 가장 충격받은 AI 영상

요즘 AI 발전속도가 진짜 미친거 같음

(google veo3)

출처

🃏월드 시리즈 오브 앱스트랙트 포커 토너먼트 개최

바로 내일! 앱스트랙트에서 월드 시리즈 오브 앱스트랙트 토너먼트가 개최됩니다.

제가 요새 아주 포커에 흠뻑 빠져있습니다. 팟오즈가 어쩌고 GTO가 어쩌고 ICM이 얼만데 임플라이드 오즈를 계산하면 어쩌고...

드디어 제 능력을 발휘할 때가 되었습니다. 이제까지 코인하며 잃은 돈, 여기서 모두 보상받으려고 합니다. 진짜 이번에 좀 많이 잃었는데 제발 따게 해주세요.

8주간 수십 개의 미니 챔피언십이 펼쳐지며, 거기서 우승하는 사람들은 메인 이벤트에 참가할 수 있는 구조라고 하니, 내가 카드좀 친다라고 생각하시는 분들은 참여해보세요!

ps: 참고로 내가 아는 코인 고수중 상당수는 포커도 잘함. 아무래도 매매할때 손익비, 손절매 등등을 잘 따지니까 포커도 잘하는듯

https://x.com/visitsugartown/status/1930372858011890057

짧) 코퍼, sBTC 스택킹 지원

코퍼가 단순 sBTC 수탁을 넘어, sBTC 스택킹까지 지원합니다. 개인적으로 이 소식이 좀 크게 느껴집니다.

- 수탁사에서도 sBTC 스택킹이 충분히 상품으로 제공할만하다고 인정했다는 점
- 기관들도 코퍼 정도면 충분히 믿고 쓸 수 있는 수탁사이기 때문에 BTCfi 입문에 대한 허들을 크게 낮춰줌

이 두가지 요소 때문인데, 이를 시작으로 더더욱 본격적인 기관 BTC 유입이 시작되었으면 합니다!

https://copper.co/en/insights/company-news/copper-launches-support-for-sbtc

스토리 ABLO, 브랜드 콜라보 의류 출시

스토리의 패션 디앱 ABLO가 강아지 밈 Giorgio + 아디다스 로고를 박은 후드티를 콜라보로 출시한다고 합니다.

ABLO는 유저들이 쉽게 ABLO와 협업중인 브랜드 로고를 활용해 자기가 갖고 있는 다른 IP와 함께 리믹스할 수 있도록 돕는 기존 웹3 생태계에서는 찾아보기 어렵던 형태의 디앱입니다.

🐶 나중에는 우리집 뽀삐 사진 + 발망 로고를 활용하는 것도 가능하게 될 거에요!

별개로 ABLO는 지금까지 해온 걸 봤을때 막 토큰을 찍거나 이럴 것 같지는 않은데, 폴리체인 / 판테라 / 점프 캐피탈 등 스토리 디앱 가운데서도 투자자들이 엄청 잘 붙은 친구이기도 합니다.

스토리는 웹3에 없던 제품을 만들어나간다는 점에서 꾸준히 팔로업하게 만드는 동인이 있는 것 같음 👀

https://x.com/ABLO_Official/status/1932511745119301894

알렉스 보안 사고 사후 분석 보고서

2025년 6월 6일 발생한 알렉스 보안 사고에 대한 상세 분석 보고서를 공개합니다.

이 보고서는 사건의 원인과 피해 내역, 대응 과정과 보상 방안 그리고 재발 방지 대책을 투명하게 담고 있습니다.

모든 피해자분들께는 재무 지원 프로그램을 통해 100% 전액 보상이 진행되고 있습니다.

서비스는 다음 주 월요일부터 스왑, 풀, 스테이킹 등 주요 기능이 순차적으로 재개될 예정입니다.

이번 사고로 심려를 끼쳐드려 진심으로 죄송하며, 여러분의 신뢰를 되찾을 수 있도록 모든 노력을 다하겠습니다.

알렉스 보안 사고 사후 분석 보고서

1/ 알렉스 LP 보상 완료 및 클래리티 개발자 코멘트

알렉스의 LP 보상이 완료되어 가고 있습니다. 저도 많은 손실을 입었고 이번이 2번째 익스플로잇이라는 점이 정말 아쉽지만, 한편으로는 과거 해킹과 달리 빠르게 보상 계획을 수립하고 잘 매듭지어가는 것 같다고 생각하기도 합니다.

2번째 해킹에도 불구하고 여전히 LP를 공급하던 생태계 핵심 지지자들이 다시 알렉스를 사용할 수 있을지는 모르겠지만, 그래도 대처가 빨랐음을 이해하고 싶고, 누군가는 100% 보상을 지급한 이번 일을 보고 한번 더 알렉스를 믿어볼 거라고 생각합니다.

역설적으로 다시 알렉스가 잘 되어야만 손실을 봤던 사람들이 잘되는 그림이기에 저는 알렉스 팀을 응원합니다.

참고로 이번 응원에는 또다른 맥락이 있기도 합니다. 바로 알렉스 팀이 익스플로잇당한 경로에 대한 것인데요. 이번 사태에 대해 과거 클래리티 핵심 기여자로 일했던 마빈은 이번 일에 대해 아래와 같은 입장을 밝혔습니다. 저도 개인적으로 공감합니다.

1/ 이번 일어난 일은 끔찍한 일, 알렉스는 대처할 수 있는 만큼 잘 하다고 생각한다.

2/ 핵심 문제가 어디에 있었는지 결정하는 데 어려움을 겪었다. 나는 보통은 컨트랙트 개발자들이 해당 언어와 코드가 어떻게 실행되는지 알아야한다고 생각한다. 하지만 스마트 컨트랙은 일반적으로 개발자가 노드 자체의 부분을 복잡하게 이해할 필요없이 블록체인을 개발할 수 있도록 추상화해준다. 예를 들면 스마트 컨트랙트를 사용할 때 노드가 내부적으로 어떻게 데이터를 저장하는 지 정확히 알 필요가 없다고 생각한다.

3/ 나는 이번 공격이 얼마나 스마트한지 매우 놀랐다. 많은 사람들이 놀랐을 거라고 확신한다. 사실 이번 취약점은 클래리티 코드만 보면 전혀 발견할 수 없었다. 이번에 사용된 코드 라이브러리는 내가 만들었다. 비록 감사를 받지는 않았지만, 수십 번을 클래리티만 감사받았다고 하면 이번 공격의 원인을 발견하지 못했을 것이라고 생각한다.

4/ 이번 익스플로잇은 알렉스 컨트랙트의 설계 구성 / 스택스 노드 구성 / 클래리티 컨트랙트를 인스턴스하는 방법을 모두 알아야만 가능했다. 공격자는 스택스 노드의 작동방식에서 매우 잘 알고 있었으며, 나는 이번 공격 경로를 고려한 적이 없으며, 내가 생각하는 훌륭한 개발자들도 마찬가지였다.

5/ 알렉스는 항상 새로운 기능을 출시하는 선구자였다. 알렉스는 새로운 기능을 출시한 최초의 팀이라고 생각한다. 어떤 의미에서 ALEX는 이러한 새로운 매커니즘을 개척한 대가를 치룰 수 있다. 이제 트랜잭션 증명 라이브러리 코드를 다시 사용하려는 팀은 무엇을 주의해야하는 지 알게 되었다. 이것은 많은 다른 빌더들을 무너뜨렸을 정더로 엄밀한 공격이었다.

6/ 하지만 그럼에도 불구하고 컨트랙트의 모든 행동이 철저하게 되었어야 한다는 커뮤니틔 의견에 동의한다. 만약 알렉스 컨트랙트가 어떤 조건에서든 배포에 실패하지 않는 구조였다면, 이번 공격은 일어날 수 없었을 것이다.

7/ 이제 수정된 코드는 라이브러리를 안전하게 사용할 수 있게 만들었지만, 실제 해결책은 개발언어에 해당 기능을 추가하는 것이다. 참고로 이것은 제한이나 실수가 아니다, 디자인 선택의 차이이다. 이번 공격은 컨트랙트 설계와 스택스 노드 동작의 조합으로 인해 가능했던 것이다. 기존 로직도 합의의 일부이며, 합리적인 설계이다. 만약 현재 디자인을 변경하고자하면 하드포크가 필요하다.

8/ 앞으로 나아가려면, 스택스 커뮤니티는 서로를 지원해야 한다. 알렉스 팀은 쉼없이 빌딩해왔으며, 만약 그들이 없었다면 스택스는 지금의 위치에 있지 않을 것이다. 모든 분노는 공격자에게 직접 향해야 한다.

https://x.com/MarvinJanssen/status/1933589730173858176

2/ 스파르탄 CEO 생각 & 내 생각

이에 스파르탄의 CEO 멜로디 허는 아래와 같은 생각을 밝혔습니다. 참고로 멜로디는 비트코인 생태계에 관심이 많고, 동시에 알렉스 10M 추가 투자 당시 리드를 담당하기도 했습니다.

1. 이번 일이 생태계를 성장시키는 것이 얼마나 어려운지를 보여준다. 헌신적인 개발자가 있어야만 체인은 사용자가 사용하고 싶어하는 앱을 갖게 된다. 모든 해킹을 막을 수는 없지만, 사실은 모든 해킹은 스택스를 더 강하게 만든다.

2. 하지만 스택스가 해킹 때문이 아니라 처리 방식 때문에 빌더들을 떠나보낸다면 이는 새롭게 개발할 체인을 찾는 팀들에게 최악의 신호를 보낸다.

3. 예를 들어 수이는 생태계 디앱이 해킹당했을때, 수이 재단은 모든 밸리를 규합하여 적걱적인 조치를 취해 신뢰를 찾은 바 있다.

4. 우리는 여전히 사용자 경험이 탈중앙화보다 중요한 단계에 있다고 생각한다. 나는 사용자이자 투자자로써 현 단계의 체인이 수백만 달러 규모의 사태에 대해서는 탈중앙화보다는 자본과 개발자를 보호하는 데 신경쓰는 것을 보고싶다. 나는 스택스 및 알렉스 팀과 오랜 시간 함께 일해왔고, 두 팀 모두를 존경한다. L1 경쟁은 변화하고 심화되고 있다. 과거 제품 및 사용자 우선 팀들이 실행한 방식에서 교훈을 얻을 수 있을 거라 생각한다.

https://x.com/melmelmelting/status/1933688262352384498

✍개인 생각
개인적으로는 비록 익스플로잇이 다른 이유로 발생했으나, 이유여하를 막론하고 2번째 익스플로잇이라는 점이 번 일을 바라보는 사람들의 관점을 복합적으로 만들고 있다고 생각합니다.

이번 사태 관련해서 정말 많은 스택스 생태계 구성원의 입장을 보고 있는데.. 하필 왜 2번이냐 발생했을까 하는 생각이 계속 머리에 남습니다..😢

근데 또 저 버그를 찾아도 알렉스 말고 생태계에 공격할 애가 알렉스밖에 없는거도 맞고..

또 멜로디랑 다른 생각은, 저는 수이는 신속한 대처로 해킹 물량을 동결하는데 성공했지만 이게 우선적인 모습인가? 하는 생각에는 의문이 있습니다. 그래도 "우리는 아직 탈중앙화보다는 사용자 경험이 우선인 시대에 있다"는 멜로디의 의견에는 매우 공감이 가기도 했습니다.