배저다오 프런트엔드 해킹

1.공격 방식#

배저다오 팀의 사후 분석에 따르면 공격자는 클라우드플레어 계정 관리의 허점을 이용했다. 미승인 사용자가 계정을 등록하고 API 토큰을 만들 수 있다는 문제가 2021년 9월 클라우드플레어 포럼에 올라와 있었다. 배저 개발자들이 9월 중순 해당 계정의 가입을 마쳤을 때 이미 API 키가 만들어져 있었고, 공격자는 이를 손에 넣었다.

공격자는 11월 10일 클라우드플레어 워커스 기능으로 app.badger.com 웹페이지에 악성 스크립트를 넣었다. 이 스크립트는 이용자가 평소처럼 거래할 때 공격자 주소에 금고 자금을 옮길 권한을 승인하도록 유도했다. 공격자는 승인을 모아 둔 뒤 12월 2일 한꺼번에 자금을 빼냈다.

2.피해와 대응#

12월 1일부터 승인되지 않은 출금 신고가 들어왔고, 팀은 스마트 계약을 일시 중지했다. 팀은 도난액을 1억 3,000만 달러 이상으로 보고, 금고에 남아 있어 회수할 수 있는 약 900만 달러를 빼면 피해가 1억 2,100만 달러를 넘는다고 밝혔다. 펙실드는 한 주소에서만 약 900 BTC가 빠져나갔다고 분석했다. 토큰포스트는 피해 규모를 2,100 BTC와 151 ETH로 전했다.

팀은 공격 경로를 막고 비밀번호와 API 키를 바꿨으며, 맨디언트와 체이널리시스에 조사를 맡기고 미국·캐나다 수사기관과 협력했다. 클라우드플레어는 자사 시스템이 침해되지 않았고 워커스 서비스에 취약점이 없다고 블룸버그에 밝혔다.

3.보상#

배저다오는 다오 투표로 보상안을 정했다. 2022년 1월 팀은 BIP 80에 따른 보상의 일부로 199.18 BTC를 LP 토큰 형태로 피해 지갑 81곳에 나눴다고 밝혔다. 팀은 이 금액이 돌려줘야 할 자금의 10%에 못 미친다고 설명했다.

이 사건은 스마트 계약 감사만으로는 이용자 자금을 지킬 수 없다는 점을 보여 줬다. 웹사이트, 도메인, 클라우드 계정처럼 계약 밖의 인프라와 이용자가 별 생각 없이 누르는 토큰 승인 화면이 공격 표면이 된다는 것이다.

4.연표3건

1. 2021.11사건11월10일 클라우드플레어 워커스로 배저다오 웹사이트에 악성 스크립트 삽입
2. 2021.12사건12월2일 승인 권한 이용해 약 1억 2,000만 달러 탈취
3. 2022.01이정표피해 지갑 81곳에 약 199 BTC 1차 보상