플래티퍼스 파이낸스 공격

1.긴급 출금이 남긴 빚#

플래티퍼스는 아발란체에서 스테이블코인끼리 바꿔 주는 자동화 시장 조성자였고, 2023년 2월 초 유동성 공급자 지분을 담보로 찍는 스테이블코인 USP를 내놨다. 코인긱에 따르면 공격자는 2월 17일 에이브에서 4,400만 달러를 플래시론으로 빌려 플래티퍼스 USDC 풀에 넣고, 받은 LP 토큰을 스테이킹한 뒤 이를 담보로 USP 4,100만 개를 찍었다. 이어 "긴급 출금" 기능으로 넣었던 4,400만 달러를 그대로 빼냈다. 계약은 이미 찍어 간 USP를 되돌리지 못했고, 공격자는 플래시론을 갚고도 USP를 손에 쥐었다. 공격자는 이 USP를 USDC·DAI·USDT·BUSD 약 850만 달러로 바꿨다.

플래티퍼스에 따르면 공격은 세 단계였다. 두 번째 공격에서는 공격자가 실수로 약 38만 달러어치를 에이브로 보냈고, 세 번째로 빼낸 약 28만 7,000달러는 토네이도 캐시와 아즈텍 네트워크로 옮겨 회수할 수 없게 됐다. USP는 달러 고정이 깨졌고, 팀은 디스코드에서 모든 기능을 멈춘다고 알렸다.

2.공격 계약의 허점과 체포#

보안업체 블록섹은 공격자의 계약에 남은 허점을 이용해 USDC 240만 개를 플래티퍼스 쪽으로 되돌렸다. 테더는 도난 USDT 150만 개를 동결했고, 플래티퍼스는 BUSD 68만 7,000개도 회수했다고 밝혔다. 2월 23일에는 피해 이용자에게 최소 63%를 돌려주겠다는 보상 계획을 냈다.

추적에는 블록체인 탐정 ZachXBT가 나섰다. 그는 2월 17일 공격자로 보이는 계정 주인에게 경찰에 넘기기 전에 반환을 협상하자고 공개적으로 연락했다. 공격자는 도난 자금을 바이낸스로 인출하려 했는데, 이 계정이 신분증을 제출한 KYC 계정이었다. 플래티퍼스는 프랑스에 고소장을 냈고, 프랑스 국가경찰은 2월 24일 두 명을 체포·소환하고 약 21만 유로어치 암호화폐를 압수했다고 발표했다.

3."줘야 할 것보다 많이 줬다"#

비트코인닷컴 뉴스가 르몽드를 인용해 전한 바에 따르면, 파리 형사법원은 2023년 12월 피고인 형제 모하메드 M.과 베나마르 M.에게 무죄를 선고했다. 모하메드 M.은 공격 사실을 인정하면서도 버그를 알리려는 "화이트햇"이었고 자금을 돌려주는 대가로 10% 이상의 보상을 받으려 했다고 주장했다. 그는 약 850만 달러가 든 주소의 통제권을 잃었고, 이후 빼낸 28만 달러 남짓은 믹서로 보냈으며 그중 1만 3,000달러를 동생에게 보냈다.

재판부는 공개된 스마트 컨트랙트를 호출했을 뿐이라며 자동정보처리시스템 무단 접근 혐의를 받아들이지 않았고, 이에 딸린 자금세탁·은닉 혐의도 기각했다. 판사는 이 계약이 "줘야 할 것보다 많이 줬다"고 표현했다. 다만 윤리적 해킹이었다는 변론은 받아들이지 않았고, 피고인에게 빚이 남아 있어 플래티퍼스가 민사로 책임을 물을 수 있다고 했다. 코드의 허점을 이용한 공격을 형사적으로 어떻게 다룰지는 미국의 망고마켓 공격 재판에서도 쟁점이 됐다.

4.연표3건

1. 2023.02사건2월 17일 플래시론으로 USP 담보 계산 허점을 노린 공격, 약 850만 달러 등 세 차례 유출
2. 2023.02이정표2월 24일 프랑스 국가경찰, 바이낸스 KYC 계정으로 신원이 확인된 2명 체포·소환
3. 2023.12이정표파리 형사법원, 무단 접근·자금세탁 혐의에 무죄 선고(민사 책임은 별개)