윈터뮤트 해킹

1.허영 주소 생성기의 결함#

윈터뮤트는 특정 문자열로 시작하는 지갑 주소(허영 주소)를 만들어 가스비를 줄이려고 무료 도구 프로파니티(Profanity)를 썼다. 프로파니티는 난수 생성기의 시드값 범위를 32비트로 좁혀 놓아, 계산력이 충분하면 시드를 역산해 개인키를 복원할 수 있는 결함을 갖고 있었다. 이 결함은 윈터뮤트 사고 며칠 전인 2022년9월15일 디파이 프로젝트 포뮬러파이낸스가 같은 방식으로 공격당하면서 이미 업계에 알려졌는데도, 윈터뮤트가 이 방식으로 만든 관리자 지갑 열 개 가운데 하나를 블랙리스트에서 빼놓는 실수를 저지르는 바람에 그대로 노출됐다. 공격자는 2022년9월20일 이 지갑의 개인키를 계산해 온체인 디파이 볼트를 관리하던 권한을 통째로 가져갔다.

2.지급불능 부인과 자금 미회수#

공격자는 이날 새벽 해당 지갑을 통해 약 1억6,000만 달러 상당의 자산을 빼내 갔다. 창업자 예브게니 가에보이는 트위터에서 "우리는 지급불능이 아니며, 탈취액의 두 배가 넘는 자기자본이 남아 있다"고 밝히고, 자금을 빌려준 상대에게 원하면 즉시 회수해도 좋다고 알렸다. 그는 공격자에게 탈취액의 10%를 사례금으로 주고 나머지를 돌려달라고 요청했지만 자금은 끝내 돌아오지 않았다. 회사의 장외거래(OTC) 서비스는 영향을 받지 않고 정상 운영됐고, 윈터뮤트는 이후에도 시장조성 사업을 계속했다.

3.연표1건

1. 2022.09사건윈터뮤트, 프로파니티 허영주소 결함으로 약 1억6,000만 달러 탈취