해커가 수요일에 유엔씨엑스 네트워크(UNCX Network)의 이더리움 공유 토큰 베스팅 풀에서 약 8만6천 달러를 탈취하여, 다른 프로젝트가 잠궈둔 토큰을 가져갔습니다. 보안업체 블록에이드(Blockaid)는 공격이 여전히 진행 중이라고 밝혔습니다.
유엔씨엑스(UNCX)는 이전에는 유니크립트(UniCrypt)로 불렸으며, 암호화폐 프로젝트가 내부자가 토큰을 미리 매도하지 못하도록 직접 토큰을 잠궈둘 수 있는 방법을 판매합니다. 해당 계약은 여러 블록체인에 걸쳐 약 1억7970만 달러를 보유하고 있고, 그 중 1억1140만 달러가 이더리움에 있습니다.
공격자는 어떻게 타인 소유의 토큰을 인출했습니까?
블록에이드에 따르면, 손실은 단일 탈취 트랜잭션에서 발생했습니다. 여러 프로젝트의 락업된 토큰이 동일한 풀에 함께 보관되어 있습니다.
공격자는 먼저 그곳에 여러 개의 베스팅 포지션을 개설했습니다. 베스팅 포지션이란, 일정한 스케줄에 따라 토큰을 보관하고 방출하는 슬롯입니다.
이후 공격자는 하나의 대형 포지션을 방출하고, 추가 토큰을 풀에 투입했습니다. 그런 다음, 보충된 포지션을 취소했습니다.
이 조치로 인해 아주 작은 잔여 포지션이 남았습니다. 블록에이드에 따르면, 그 작은 슬롯을 통해 다른 사용자의 토큰을 인출할 수 있게 되었습니다.
유엔씨엑스의 자체 가이드에서는 베스트된 토큰이 감사를 거친 계약 내에서 일정 기간 동안 잠겨 있다고 설명합니다.
“전송, 매도, 유동성 추가, 혹은 스테이킹이 불가능합니다,” 라고 가이드의 일부 내용에 적혀 있습니다.
블록에이드는 두 개의 익스플로이터 지갑을 지목했습니다. 이더스캔(Etherscan)에서는 그 중 한 지갑이 8건의 거래를 통해 약 5,874달러를 보유하고 있는 것으로 나타났습니다.
8만6천 달러 손실이 소규모 프로젝트에 중요한 이유
유엔씨엑스는 기사 작성 시점까지 이번 해킹에 대한 공식 입장을 내놓지 않았습니다.
플랫폼 자체 토큰은 거의 반응이 없었습니다. 유엔씨엑스 네트워크(UNCX)는 코인게코(CoinGecko) 자료에 따르면 24.80달러에 거래되며 24시간 기준 0.16% 상승했습니다. 전체 시가총액은 약 90만5천 달러 수준입니다.
소규모 손실도 프로젝트를 붕괴시킬 수 있습니다. 탈중앙화 거래소 풀세일(Full Sail)은 8월 약 9만1천 달러의 해킹을 당한 후 운영을 종료했습니다.
구버전 계약 코드도 피해를 입었습니다. 노셔널 파이낸스(Notional Finance)는 9월 레거시 계약에서 정수 오버플로우 버그로 173만 달러를 잃었습니다.
토큰 락커는 내부자가 물량을 투매할 수 없음을 투자자가 확인하도록 존재합니다. 남은 의문은 어떤 프로젝트에서 토큰이 손실됐는지, 유엔씨엑스가 추가 인출 전에 풀을 중단할 수 있는지입니다.
