KelpDAO와 관련된 2억 9,200만 달러 규모의 익스플로잇은 암호화폐 브리지 해킹의 최신작으로, 블록체인을 연결하도록 설계된 시스템이 블록체인을 깨는 가장 쉬운 방법 중 하나가 되었음을 강조합니다.
이 사건은 KelpDAO가 블록체인 간에 데이터와 자산을 이동하는 데 널리 사용되는 인프라 유형인 LayerZero의 크로스체인 메시징 시스템을 사용하는 것과 관련이 있습니다.
브리지는 사용자가 이더리움에서 다른 네트워크로 자산을 한 블록체인에서 다른 블록체인으로 이동할 수 있도록 하기 위한 것입니다. 그러나 원활한 연결자 역할을 하기는커녕 반복적으로 약점으로 변해 지난 몇 년 동안 수십억 달러의 손실이 발생했습니다.
그렇다면 왜 이런 일이 계속 발생합니까?
암호화폐 생태계 리더들은 단지 나쁜 코드나 부주의한 실수만이 답이 아니라고 말합니다. 문제는 더 근본적입니다. 그것은 처음에 교량을 건설하는 방법에 달려 있습니다.
핵심 문제: 중개자를 신뢰하는 것
문제를 이해하려면 브리지가 실제로 무엇을 하는지 살펴보는 것이 도움이 됩니다.
한 블록체인에서 다른 블록체인으로 토큰을 이동하는 경우 두 번째 체인에는 토큰이 존재했고 첫 번째 체인에 잠겨 있었다는 증거가 필요합니다. 이상적인 세상에서는 그 자체를 검증할 것입니다. 실제로는 비용이 너무 많이 들고 복잡합니다.
Espresso Systems의 CEO인 Ben Fisch는 “대부분의 브리지는 다른 체인에서 발생한 일을 완전히 검증하지 않습니다.”라고 말했습니다. “대신 그들은 이를 보고하기 위해 더 작은 시스템에 의존합니다. [second] 시스템은 당신이 신뢰하는 것이 됩니다.”
따라서 브리지는 진실을 독립적으로 확인하는 대신 이를 아웃소싱하며 종종 소규모 검증자 그룹이나 LayerZero 또는 Axelar와 같은 외부 네트워크에 아웃소싱합니다. 그 지름길은 위험을 야기합니다. Kelp DAO 관련 익스플로잇에서 공격자는 브리지로 공급되는 데이터를 표적으로 삼았습니다.
Fisch는 “공격자들은 노드를 손상시키고 시스템에 잘못된 버전의 현실을 제공했습니다.”라고 말했습니다. “다리는 설계된 대로 작동했습니다. 단지 잘못된 정보를 믿었을 뿐입니다.”
브리지 해킹은 표면적으로 다르게 보이는 경우가 많습니다. 일부는 도난당한 키와 관련이 있고 다른 일부는 잘못된 스마트 계약과 관련이 있습니다. 그러나 전문가들은 이것이 더 심각한 문제의 징후라고 말합니다. 실제 문제는 시스템 설계 방식에 있습니다.
1inch의 공동 창업자인 Sergej Kunz는 “잘못될 수 있는 모든 일은 잘못될 것입니다. 브리지 해킹이 완벽한 예입니다.”라고 말했습니다. “코드 취약성, 중앙 집중화 문제, 사회 공학, 심지어 경제적 공격까지 볼 수 있습니다. 일반적으로 이는 혼합되어 있습니다.”
브리지 작동 방식
사용자에게 교량은 단순해 보입니다. 버튼을 클릭하면 한 블록체인에서 다른 블록체인으로 자산을 이동할 수 있습니다. 그 이면에는 프로세스가 더 복잡합니다.
첫째, 귀하의 토큰은 원래 블록체인에 잠겨 있습니다. 그런 다음 별도의 시스템에서 토큰이 잠겨 있는지 확인합니다. 이 시스템은 일반적으로 소규모의 운영자 또는 검증자로 구성됩니다. 그런 다음 해당 운영자는 토큰이 잠겨 새 토큰을 발행할 수 있다는 메시지를 두 번째 블록체인에 보냅니다. 해당 메시지가 수락되면 두 번째 체인이 새 버전의 토큰을 생성합니다. 이는 rsETH 또는 WBTC와 같은 래핑된 토큰입니다.
문제는 이 프로세스가 해당 메시지를 보내는 사람을 신뢰하는 데 달려 있다는 것입니다. 공격자가 해당 시스템을 손상시키는 경우 거짓 메시지를 보내고 원래 체인에 백업되지 않은 토큰을 생성할 수 있습니다.
“최악의 경우는 시스템이 실제로 아무것도 확인하지 않는 경우입니다.”라고 Fisch는 말했습니다. “그냥 다른 사람의 사건 버전을 신뢰하는 것뿐입니다.”
한 번의 실패가 퍼질 때
교량이 얼마나 자주 실패하는지를 고려할 때 업계에서는 왜 교량을 고치지 않습니까?
대답의 일부는 인센티브에 달려 있습니다. Kunz는 “보안이 최우선 순위가 아닌 경우가 많습니다.”라고 말했습니다. “팀은 빠르게 출시하고, 사용자를 늘리고, 총 가치를 높이는 데 중점을 둡니다.”
보안 시스템을 구축하려면 시간과 비용이 필요합니다. 많은 DeFi 프로젝트는 제한된 리소스로 운영되므로 감사, 모니터링 및 인프라에 막대한 투자를 하기가 어렵습니다.
동시에, 더 많은 블록체인을 지원하기 위해 프로젝트가 경쟁하고 있습니다. 각각의 새로운 통합은 복잡성을 추가합니다. Fisch는 “새로운 연결이 나올 때마다 더 많은 가정이 추가됩니다.”라고 말했습니다.
브리지 해킹은 거의 포함되지 않습니다. 브리지 자산은 대출 프로토콜, 유동성 풀, 수익률 전략 전반에 걸쳐 사용됩니다. 해당 자산이 손상되면 피해가 확산됩니다.
Kunz는 “다른 플랫폼에서는 해킹된 자산을 합법적인 자산으로 취급할 수 있습니다. “전염병은 이렇게 발생합니다.” 사용자는 브릿지가 실제로 어떻게 작동하는지, 무엇이 잘못될 수 있는지 거의 알지 못합니다.
교량을 더욱 안전하게 만드는 방법이 있습니다. Fisch는 한 가지 핵심 단계는 공유 인프라가 아닌 독립적인 데이터 소스에 의존하여 단일 실패 지점을 제거하는 것이라고 말합니다.
실제로 이러한 “데이터 소스”는 블록체인을 관찰하고 무슨 일이 일어났는지 보고하는 컴퓨터입니다. 브리지 자체, LayerZero와 같은 외부 네트워크 또는 인프라 제공업체에 의해 실행될 수 있습니다. 그러나 많은 사람들이 동일한 기본 서비스에 의존합니다. 즉, 손상된 단일 소스가 여러 시스템에 잘못된 데이터를 제공할 수 있다는 의미입니다.
“모든 사람이 동일한 소스에 의존한다면 위험이 줄어들지 않습니다.”라고 그는 말했습니다. “당신은 그것을 복사했습니다.”
다른 접근 방식에는 잘못된 구성을 조기에 포착하기 위한 하드웨어 보호 및 향상된 모니터링이 포함됩니다. 일부 개발자는 중개자 대신 암호화를 사용하여 직접 데이터를 검증하는 설계도 작업하고 있습니다.
Kunz는 보다 근본적인 변화가 필요하다고 믿습니다. “우리가 검증자 기반 브릿지에 의존하는 한 이러한 문제는 계속될 것입니다.”라고 그는 말했습니다.
당신을 위한 더 많은 것
또한: 북한의 암호화폐 해킹, Aave 전염 및 양자 컴퓨팅에 대한 코인베이스.
알아야 할 사항:
암호화폐 기술 개발에서 가장 중요한 이야기를 다루는 CoinDesk의 주간 요약 The Protocol에 오신 것을 환영합니다. 저는 CoinDesk의 리포터 Margaux Nijkerk입니다.
이번 호에서는:
- 2026년 최대의 암호화폐 익스플로잇: 20개 체인에 걸쳐 묶인 래핑된 이더로 Kelp DAO에서 2억 9,200만 달러가 유출됨
- 북한 암호화폐 강탈 플레이북은…
