카르다노(ADA), 디파이 보안 경보 발령..."수수료 조작으로 코인 증발"

▲ 카르다노(ADA), 해킹, 암호화폐 보안/AI 생성 이미지

카르다노(Cardano, ADA) 기반 탈중앙화거래소 스플래시(Splash)가 보안 취약점 공격을 받아 242만ADA와 198만OADA를 잃었다.

9월 14일(현지시간) 더크립토베이직에 따르면, 스플래시는 9월 13일 00시 47분부터 00시 48분 사이 ADA/OADA 스테이블스왑 풀에서 공격이 발생했다고 밝혔다. 공격자는 두 차례 거래를 통해 자산을 빼냈다. 두 번째 거래에서 243만 4,648.42ADA와 198만 8,222.18OADA가 빠져나갔다. 공격자가 먼저 예치한 9,870ADA를 제외하면 ADA 순유출 규모는 242만 4,778.42ADA이다.

스플래시는 풀 검증자의 취약점이 공격의 원인이라고 설명했다. 검증자는 실제 잔액에서 누적 프로토콜 수수료를 차감해 거래 가능 준비금을 계산했지만, 계산 결과가 양수인지 확인하지 않았다. 공격자는 수수료 카운터를 조작한 뒤 실제 ADA 잔액을 해당 수치 아래로 낮췄다. 검증자가 음수 준비금을 허용하면서 공격자는 ADA와 OADA를 모두 인출할 수 있었다.

카르다노 기반 디파이 수익 최적화 플랫폼 옵팀 파이낸스(Optim Finance)는 피해가 ADA와 OADA를 지원하는 스플래시 풀에 한정됐다고 밝혔다. OADA와 다른 토큰을 묶은 일부 유동성 풀도 영향을 받았지만 다른 유형의 풀에서는 피해가 확인되지 않았다. 스플래시는 사고 직후 프로토콜을 중단하고 관련 유동성을 회수했다. 현재 해당 풀에서는 OADA를 ADA로 교환할 수 있는 의미 있는 유동성이 남아 있지 않다.

공격자는 탈취한 OADA를 민스왑(Minswap)의 유동성이 낮은 OADA/FLDT 풀로 옮긴 뒤 일부를 ADA로 바꿨다. 유동성이 부족해 실제 확보한 ADA는 약 11만 5,000ADA에 그쳤다. 보도 시점에는 176만OADA가 민스왑 풀에 남아 있었다. 스플래시는 남은 OADA를 이용한 차익거래 위험이 있다며 ADA/OADA 풀에 새로운 유동성을 공급하지 말라고 경고했다.

탈취한 ADA의 이동 경로도 일부 확인됐다. 공격자는 자금을 6개 입금 주소로 나눈 뒤 4개 수탁 서비스 계정군으로 모았다. 스플래시는 이 가운데 78만 6,851ADA가 쿠코인(KuCoin), 55만ADA가 게이트아이오(Gate.io)와 연결된 것으로 파악했다. 나머지 121만ADA를 보관한 수탁 서비스 운영자는 확인되지 않았다. 스플래시는 두 거래소에 연락해 자금 추적을 이어가는 한편 공격자에게 버그바운티 또는 화이트햇 방식의 자산 반환 협상을 제안했다.

이번 사고에 앞서 카르다노 생태계에서는 보안 피해가 잇따랐다. 다노 파이낸스(Dano Finance)는 대출 풀 공격으로 52만 3,546USDA와 45만 7,808USDM, 73만 7,708USDCx, 713만 1,442NIGHT 등을 잃었다. 엠포와(Empowa)에서는 프로젝트 금고 지갑에서 약 14만 3,710ADA와 4만 8,219NIGHT가 무단 전송됐으며, 세컨드파이(SecondFi)는 지난 6월 374개 사용자 지갑에서 1,600만ADA 이상이 탈취됐다고 밝혔다.

[기사 핵심 요약]

-스플래시는 ADA/OADA 풀 취약점 공격으로 순수 기준 242만 4,778.42ADA와 198만 8,222.18OADA 피해를 입었다.

-공격자는 검증자의 준비금 계산 취약점을 악용했으며 스플래시는 프로토콜 중단과 유동성 회수에 나섰다.

-탈취 자금 가운데 78만 6,851ADA와 55만ADA가 각각 쿠코인과 게이트아이오 관련 계정으로 이동한 것으로 파악됐다.

*면책 조항: 이 기사는 투자 참고용으로 이를 근거로 한 투자 손실에 대해 책임을 지지 않습니다. 해당 내용은 정보 제공의 목적으로만 해석되어야 합니다.*