바이빗, 14억5000만 달러 해킹… 머스킹 기법 활용한 정교한 공격

23일(현지시간) 더크립토타임즈에 따르면, 이번 해킹은 바이빗의 멀티시그 보안 체계를 우회한 정교한 방식으로 이루어졌다. 멀티시그 월렛은 여러 명의 서명이 필요해 보안성이 높지만, 해커들은 ‘머스킹’이라는 기법을 사용해 트랜잭션 승인 과정에서 UI를 변조하고, 정상적인 거래로 속여 승인을 받아냈다.

바이빗 CEO 벤 저우(Ben Zhou)는 "해커들은 UI 스푸핑(UI Spoofing)을 이용해 가짜 트랜잭션을 생성한 후, 이를 통해 멀티시그 서명자를 속였다"고 설명했다. 해커들은 바이빗이 사용하는 보안 솔루션 제공업체 ‘세이프(Safe)’의 트랜잭션 인터페이스를 변조하고, 악성 스마트 컨트랙트를 삽입해 승인 프로세스를 조작했다.

블록체인 보안업체 딜레이션 이펙트(Dilation Effect)는 "공격자는 ‘delegatecall’ 기능을 이용해 악성 계약의 ‘transfer’ 함수를 실행하고, SSTORE 명령을 사용해 콜드월렛 멀티시그 컨트랙트의 주소를 변경했다"고 분석했다. 이 과정에서 단 한 명의 서명자만 해킹당해도 공격이 가능했던 것으로 나타났다.

현재 해커는 탈취한 13억 달러 상당의 ETH를 53개의 지갑으로 분산 보관하고 있으며, 아직까지 토네이도 캐시(Tornado Cash) 같은 믹싱 서비스를 사용하지 않은 상태다. 이는 자금 세탁이 본격적으로 이루어지지 않았음을 의미하며, 화이트해커나 보안 기관의 추적을 통해 일부 자금을 회수할 가능성을 시사한다.

바이빗은 해킹 이후 1:1 준비금을 유지하고 있다고 밝혔으나, 수백만 명의 사용자들이 자금 안전성에 대한 불안을 느끼고 있다. 이번 사건은 중앙화 거래소(CEX)의 보안 취약점과 멀티시그 시스템의 한계를 다시 한번 드러내며, 향후 업계의 보안 강화 논의가 불가피할 것으로 보인다.

뉴스 속보를 실시간으로...토큰포스트 텔레그램 가기