세터스 프로토콜 해킹

1.잘못된 상수 하나로 뚫린 오버플로 검사#

할본 분석에 따르면 문제는 Move로 작성된 코드의 checked_shlw 함수였다. 이 함수는 왼쪽으로 64비트 밀 때 넘칠 값을 걸러야 하는데, 비교 기준을 0x1 << 192가 아니라 0xFFFFFFFFFFFFFFFF << 192로 잡아 일부 넘치는 값을 통과시켰다.

공격자는 플래시 론으로 자금을 빌린 뒤 틱 범위 [300000, 300200]의 아주 좁은 포지션을 열었다. 검사를 통과하면서 계산에서는 넘치는 유동성 값을 골랐고, 그 결과 큰 유동성을 얻는 데 필요한 토큰 수가 1로 계산됐다. 공격자는 토큰 하나를 넣고 막대한 유동성을 배정받아 여러 거래에 걸쳐 빼냈다.

2.검증인이 멈춘 공격자 주소#

세터스는 2억 2,000만 달러 넘는 피해액 가운데 1억 6,200만 달러를 동결했다고 밝혔다. 수이 재단은 다수 검증인이 해당 주소의 거래를 '추후 공지까지 무시'하고 있다고 설명했다. 보안 도구 엑스트랙터 팀은 약 6,300만 달러가 이미 이더리움으로 넘어갔다고 집계했다. 세터스는 공격자에게 20,920 ETH를 돌려주면 600만 달러를 주고 수사 기관에 연락하지 않겠다고 제안했다.

검증인들이 특정 주소의 거래를 처리하지 않아 자금을 묶은 조치는 논란을 불렀다. 사이버 캐피털 창업자 저스틴 본스는 이를 네트워크 중앙화의 증거라고 비판했다. 검증인이 114곳뿐이라는 점도 거론됐다. 반면 빠른 대응을 높이 평가한 이용자도 있었다.

3.온체인 투표와 재가동#

5월 27일 수이 측은 동결 자금을 옮길 온체인 투표 코드를 공개했다. 검증인이 표를 던지고, SUI 보유자는 스테이킹 위임으로 뜻을 나타내는 방식이었다. 수이 재단은 중립을 이유로 투표에 참여하지 않았다. 투표는 5월 29일 찬성 90.9%, 기권 1.5%, 불참 7.2%로 끝났다. 자금은 세터스, 수이 재단, 오터섹이 함께 관리하는 다중서명 지갑으로 옮겨져 이용자 반환 때까지 신탁 형태로 보관됐다.

세터스는 사고 17일 뒤 서비스를 다시 열었다. 더블록에 따르면 복구 재원은 회수 자금, 세터스의 현금 준비금 전액 700만 달러, 수이 재단의 3,000만 달러 USDC 대출이었다. 유동성 공급자는 원금의 85~99%를 돌려받았고, 나머지는 12개월에 걸쳐 CETUS 토큰으로 지급하기로 했다.

4.연표3건

1. 2025.05사건5월22일 오버플로 검사 오류로 약 2억 2,300만 달러 유출, 약 1억 6,200만 달러 동결
2. 2025.05이정표5월29일 수이 온체인 투표 통과(찬성 90.9%)
3. 2025.06이정표세터스 서비스 재개(사고 17일 뒤), 수이 재단 3,000만 달러 USDC 대출