크로스체인 브리지 공격: Web3의 중대한 위협

주요 수법

• • 검증자 합의 메커니즘 공격: 공격자는 브리지 검증자가 거래를 승인하는 데 사용하는 암호키나 다중서명 지갑을 탈취하여, 정당한 담보 없이 부정 토큰 발행을 승인하는 데 이 자격 증명을 악용합니다.
• • 스마트 계약 로직 결함 악용: 사기범은 서명 검증 오류, 재진입 취약점, 오프바이원 오류 등 브리지 검증 코드의 버그를 찾아내어 보안 검사를 우회하고 정당한 입금 없이 자금을 전송합니다.
• • 인위적 유동성 풀 생성: 공격자는 가치 없는 토큰을 입금하거나 플래시 론을 이용해 브리지 한쪽의 유동성을 인위적으로 부풀린 뒤, 사기 탐지 전에 반대편에서 실제 자산을 인출합니다.
• • 정상 브리지 변형 배포: 사기범은 인기 브리지(예: Stargate, Across)의 가짜 인터페이스를 만들어 사용자 입금을 실제 브리지 프로토콜이 아닌 공격자 지갑으로 직접 전송합니다.
• • 업그레이드 시점 공격: 해커는 브리지 프로토콜 업그레이드나 유지보수 기간 중 검증 시스템 전환이나 보안 모니터링 약화 시점을 노려 일시적 취약점을 악용합니다.
• • 다단계 토큰 공격 조율: 공격자는 한 체인에서 부정 래핑 토큰을 발행해 탈중앙화 거래소에서 정당 암호화폐로 판매하고, 이후 정당 자금으로 흔적을 감추며 믹서를 통해 자금을 세탁합니다.

식별 방법

• 브리지 중단 또는 보안 사고 갑작스러운 공지: 공식 브리지 팀이 프로토콜이 공격당해 모든 전송을 중단한다고 알리고, 담보 예치금이 부족하다는 사실이 확인됩니다.
• 래핑 토큰이 원자산과 페깅 해제: 래핑 토큰 가격이 탈중앙화 거래소에서 거의 0에 가까워지는 반면 원자산 가치는 정상인 경우, 브리지 담보가 부족함을 의미합니다.
• 브리지 계약에서 비정상적 거래 급증: 블록 탐색기에서 단기간에 대규모 자금 유출이 확인되고, 이전에 활동이 없던 공격자 지갑으로 거래가 은폐 기법과 함께 이루어집니다.
• 브리지 담보 불일치: 출발 체인의 담보량과 도착 체인에 유통 중인 래핑 토큰 수량이 일치하지 않는 경우, 입금 없이 토큰이 발행된 수학적 불가능성이 드러납니다.
• 검증자 합의 붕괴: 브리지 검증자가 서명을 검증하지 못했거나, 핵심 검증자 키가 유출되어 필요한 승인 임계값을 달성하지 못했다는 공개가 이루어집니다.
• 피해 토큰이 디파이 플랫폼과 호환 불가: 주요 프로토콜이 갑자기 손상된 래핑 토큰을 상장 폐지하고, 담보 포지션 부실화로 대출 플랫폼 전반에 청산 연쇄 반응이 발생합니다.

자신을 보호하는 법

• 입금 전 브리지 합법성 확인: 브리지 URL을 블록체인 재단 공식 발표와 대조하고, Certik, Trail of Bits 같은 플랫폼의 보안 감사 보고서를 확인하며, 여러 독립 출처에서 공식 계약 주소를 검증하세요.
• 브리지 입금 내역 적극 모니터링: 블록 탐색기를 통해 입금 자산을 실시간으로 확인하고, 브리지 스마트 계약의 비정상 거래 활동에 대한 알림을 설정하며, 도착 체인 토큰이 원자산 대비 현재 시장 가격을 반영하는지 주기적으로 검증하세요.
• 여러 브리지에 분산 투자: 단일 브리지 프로토콜에 의존하지 말고, 이더리움과 폴리곤 간 자산 이동 시 여러 브리지를 활용해 단일 실패 지점 위험을 줄이세요.
• 보안 기록이 탄탄한 검증된 브리지 사용: 신뢰할 수 있는 감사 기관의 검증을 받은 브리지, 공개적으로 검증자 합의가 투명하게 관리되는 브리지, 최소 12개월 이상 보안 사고 없이 운영된 브리지를 우선 사용하세요.
• 브리지 노출은 최소화하고 일시적으로 유지: 브리지에 보유하는 암호화폐 양을 제한하고, 가능하면 주 체인에 자산을 보관하며, 도착 체인에서 즉시 필요한 만큼만 브리지하세요.
• 프로토콜 연구를 통한 추가 보안 확보: 브리지 사용 전 보안 감사 보고서를 읽고, 검증자 구성과 다중서명 요건을 이해하며(단일 주체가 키를 독점하지 않는지 확인), 최근 스마트 계약 업데이트에서 취약점 패치 여부를 점검하세요.

실제 사례

자주 묻는 질문

신고 채널 — 대한민국

귀하의 지역에서 이 사기를 신고할 수 있는 공식 채널.