해커, 아브라카다브라서 1300만 달러 탈취… 플래시 론 악용

디파이 프로토콜 아브라카다브라(Abracadabra)의 스테이블코인 매직인터넷머니(Magic Internet Money, MIM)를 노린 해킹 사건으로 약 1300만 달러 상당의 이더리움이 탈취되었다.

25일(현지시간) 더블록에 따르면, 보안 업체 펙쉴드(PeckShield)는 아브라카다브라와 스펠(Spell) 프로토콜의 ‘콜드런(Cauldrons)’ 스마트 계약에서 발견된 취약점을 통해 공격자가 총 6262 ETH를 유출했다고 밝혔다. 해당 스마트 계약은 탈중앙 거래소 GMX의 GM 풀을 기반으로 온체인 대출·차입 기능을 제공하며, 이번 공격은 청산 구조의 허점을 악용한 것으로 분석된다.

암호화폐 리서처 윌리엄 리(Weilin Li)는 엑스(X)를 통해 공격자가 플래시 론 상태에서 스스로를 청산 대상으로 지정하며 담보 없이 대출을 실행한 뒤, 청산 인센티브를 통해 수익을 얻는 7단계 공격 절차를 수행했다고 밝혔다. 공격의 핵심은 GMX V2의 2단계 거래 구조 중 주문 생성과 실행 사이의 간극을 이용한 것으로, 이로 인해 공격자가 거래 처리 전 개입할 여지를 얻었다고 설명했다. 다만 GMX 개발자들은 핵심 계약에는 문제가 없으며, 피해는 스펠의 GM 풀 기반 구조에 국한된다고 해명했다.

현재 탈취된 자금은 아비트럼 네트워크에서 이더리움 메인넷으로 브리지되어 이동된 상태다. 아브라카다브라는 지난해 1월에도 MIM 스테이블코인이 조작돼 650만 달러 규모의 피해를 입은 바 있으며, 이번 사건은 그보다 2배에 가까운 피해로 기록될 전망이다. 프로젝트 기여자들은 정확한 원인 분석 및 후속 대응에 나선 상태다.