Drift Protocol, Lazarus Group이 주도한 2억 8,500만 달러 해킹으로 타격

해커들은 3월 11일에 CarbonVote(CVT)라는 가짜 거버넌스 토큰을 배포하여 합법적인 온체인 투표 플랫폼을 모방했습니다. 공격자들은 에어드랍이나 기타 인센티브를 약속하며 Drift의 멀티시그 서명자들을 속여 지갑을 악성 스마트 컨트랙트에 연결하도록 유도했습니다. 일단 연결되면, 해커들은 Solana의 지속 가능한 논스 기능을 악용했습니다. 이 기능은 오프라인에서 트랜잭션을 사전 서명할 수 있도록 설계되었지만, 공격자들은 이를 이용해 일반적인 논스 만료 보호를 우회하여 무기한 승인을 얻었습니다. Drift의 보안 조치에는 5명 중 3명의 서명이 필요한 멀티시그가 포함되어 있었지만, 사회공학 전술로 인해 충분한 서명자들이 악성 트랜잭션을 무의식적으로 승인하게 되었습니다. 이 방법론은 ETH 믹서 Tornado Cash에서 사용했던 것과 유사하며, 이는 국가가 지원하는 행위자들이 DeFi 프로토콜의 운영 절차를 표적으로 삼는 데 있어 점점 더 정교해지고 있음을 시사합니다.

침해 직후, 해커들은 탈취한 자금을 여러 주소로 분산시켰으며, 블록체인 분석가들은 세탁 흔적을 추적했습니다. 4월 4일, Onchain Lens는 5,625만 개의 DRIFT 토큰(약 1,100만 달러 상당)이 거래소 Bybit과 Gate로 이동했다고 보고하여 공황을 촉발시켰습니다. 그러나 Drift의 거버넌스 채널에서 커뮤니티 회원들은 이 주소가 합법적인 투자자 지갑이며 해커가 아님을 발견했습니다. 4월 6일 현재, Drift는 공식적인 상환 계획을 발표하지 않았습니다. Solana의 공동 창립자 Anatoly Yakovenko는 영향을 받은 사용자들에게 보상하기 위한 IOU 토큰 에어드랍을 제안했지만, 이 아이디어는 전체 상환이 아닌 부분 보상만 제공할 가능성이 있어 혼재된 반응을 받았습니다. 역사적으로 피해자들은 탈취된 자금의 일부만을 회수했으며, 공격자들이 중앙화된 거래소에서 자산을 현금화하거나 국경을 넘어 자금을 이동시키기 때문입니다.

이 익스플로잇은 Solana DeFi에 그림자를 드리웁니다. Drift는 TVL(Total Value Locked)이 가장 높은 온체인 옵션 플랫폼 중 하나였지만, 해킹 이후 프로토콜의 활동은 급감했습니다. 사용자들은 다른 Solana 기반 프로토콜의 멀티시그 관행과 보안 감사에 대해 의문을 제기하고 있습니다. Lazarus Group의 연관성은 우려를 증폭시킵니다. 이 조직은 2022년 Ronin Bridge에서 6억 2,500만 달러를 탈취한 것을 포함하여 수십억 달러의 암호화폐 도난에 책임이 있습니다. 그들의 전술은 지속 가능한 논스 악용 및 가짜 토큰 배포와 같은 블록체인별 취약점을 포함하도록 진화했습니다. 규제 기관과 보안 회사들은 이제 모든 멀티시그 설정에 대해 의무적인 사회공학 방지 교육과 감사 추적을 요구할 것을 요구하고 있습니다. Drift 사건은 가장 안전해 보이는 설정조차도 정교한 공격자에게 취약할 수 있음을 상기시킵니다.