배저다오 프런트엔드 해킹, 클라우드플레어 API 키 탈취로 1억2000만 달러 유출

2021년 12월 2일 비트코인 기반 디파이 프로젝트 배저다오는 이용자 자금의 무단 인출 신고를 접수했다고 밝혔다. 블록체인 보안업체 피크실드는 도난액을 약 1억2030만 달러로 집계했고 대상 자산은 랩트비트코인(WBTC), 컨벡스(CVX), 각종 금고 토큰이었다. 한 이용자는 약 900비트코인, 약 5080만 달러어치를 한 번의 거래로 잃었고 다른 이용자는 500만 달러를 잃었다. 배저다오는 추가 인출을 막기 위해 모든 스마트 계약을 일시 중단했다고 발표했다. 당시 이 사건은 역대 디파이 해킹 중 상위권 규모로 꼽혔다.

배저다오 팀은 사고를 인지한 직후 전 계약을 일시 중단하고 토큰 대리 전송 함수 호출을 막아 추가 피해를 끊었다. 이 조치로 이용자는 예치, 보상 청구, 인출을 모두 하지 못하게 됐고 이 상태는 토요일인 12월 4일까지 이어졌다. 프로토콜 자체의 스마트 계약이 뚫린 것이 아니라 이용자가 접속하는 웹 화면이 조작됐다는 점이 곧 드러나, 탈중앙 프로토콜이어도 공식 웹사이트라는 중앙화된 진입점이 약점이 될 수 있음이 부각됐다. 대체 프런트엔드를 쓰는 이용자는 영향을 받지 않을 수 있었다는 분석도 나왔다. 팀은 피해 규모와 경로를 조사하며 재가동과 보상 계획에 집중하겠다고 밝혔다.

배저다오 관리자는 클라우드플레어 계정의 API 키가 탈취됐다고 밝혔고, 공격자는 이를 이용해 사이트에 악성 코드를 주입했다. 이용자가 거래를 시도하면 스크립트가 공격자 주소에 대한 무제한 토큰 사용 승인을 함께 요청하도록 화면을 바꿨다. 약 500개 지갑이 이 승인에 서명했고 공격자는 이후 승인된 권한으로 토큰을 자기 주소로 옮겼다. 이런 방식은 개인키를 빼내는 대신 이용자가 직접 권한을 넘기게 속인다는 점에서 '아이스 피싱'으로 불린다. 이 사건은 월렛 서명 화면에서 승인 대상과 한도를 확인하는 습관의 중요성을 다시 일깨웠다.

보도에 따르면 12월 4일 토요일까지도 배저다오는 입금, 보상 청구, 인출을 지원하지 못했다. 회사는 미국과 캐나다 법 집행 기관, 블록체인 분석업체 체이널리시스, 보안업체 맨디언트와 협력해 자금 흐름을 추적하고 있다고 밝혔다. 피해 추정액은 당시 1억 달러를 훌쩍 넘었고 피크실드는 약 1억2000만 달러로 추산했다. 같은 주말 거래소 비트마트도 약 1억5000만 달러 규모의 해킹을 당해 가상자산 업계의 보안 불안이 커졌다. 이용자들은 계약이 다시 열릴 때까지 자산을 인출하지 못한 채 공지를 기다려야 했다.

배저다오는 공개 메시지를 통해 해커에게 '당신은 당신 것이 아닌 자금을 가져갔다'며 취약점을 알려준 대가로 보상하겠다고 제안했다. 바이스 보도에 따르면 도난 자산은 약 2100비트코인(약 1억1850만 달러)과 이더리움 151개(약 67만9000달러)였다. 팀은 외부 개입 없이 평화적 해결을 원한다며 직접 소통 창구를 열었고, 협상은 전문가에게 맡기겠다고 했다. 2021년 8월 폴리 네트워크가 해커에게 호소한 뒤 약 6억 달러가 반환된 선례가 거론됐다. 다만 이 보도에는 해커가 응답했다는 내용이 없다. 팀의 우선순위는 프로토콜 재개와 보상 계획이었다.

12월 23일자 다오 뉴스레터에 따르면 배저다오 커뮤니티는 해킹으로 사라진 거버넌스 토큰 BADGER를 복원하는 BIP-79와 재무 자산 1700만 달러 중 스테이블코인 1000만 달러로 WBTC를 개당 5만7000달러 아래에서 매입하는 BIP-81을 통과시켰다. 이어 BIP-80은 BIP-81의 수익금 중 피해자에게 배분할 비율, 재무에서 사용할 BADGER 물량, 추가 재원 투입 여부를 공동체에 물었다. 이 과정은 합의 방식으로 해킹 피해를 복구하려는 시도로 평가됐다. 다만 최종 배상 금액은 해당 자료에 나와 있지 않다.