DeFi 또 터졌다! StakeDAO 배포자 개인키 유출, 공격자가 Arbitrum에서 5.4조 개의 vsdCRV를 무에서 발행, ETH로 환전 중

블록체인 보안 회사 Blockaid가 Stake DAO가 Arbitrum에서 공격을 받고 있음을 감지했으며, 공격자는 유출된 배포자 개인키를 이용해 LayerZero v2 OFT 크로스체인 프로토콜을 통해 5.4조 개 이상의 vsdCRV(Vote Boosted sdCRV) 토큰을 무에서 발행하고 있으며, 이를 ETH로 교환하고 있습니다. Blockaid는 의심되는 근본 원인이 개인키 유출이라고 지적했으며, 공격은 여전히 진행 중입니다. (전편 요약: OpenZeppelin 공동창업자, 모든 DeFi에서 철수할 것을 촉구: AI로 인해 공격과 방어의 균형이 무너졌으며, 블루칩 Aave조차도 안전하지 않다) (배경 보충: Kelp DAO, rsETH 전면 복구 선언: 5주 전 북한 해커에게 2억 9300만 달러 탈취당해) 핵심 요약 - StakeDAO 배포자 개인키가 해킹당해, 공격자가 Arbitrum에서 5.4조 개 이상의 vsdCRV를 발행하고 ETH로 교환 - 공격 수법: 유출된 개인키를 이용해 LayerZero v2 OFT 크로스체인 피어 노드를 재구성하여, 신뢰를 악성 컨트랙트로 유도 블록체인 보안 회사 Blockaid가 실시간 경보를 발령하며, DeFi 수익 프로토콜 Stake DAO가 Arbitrum에서 지속적인 공격을 받고 있음을 감지했습니다. 공격자는 5.4조 개 이상의 vsdCRV(Vote Boosted sdCRV) 토큰을 발행했으며, 이를 ETH로 교환하고 있습니다. Blockaid는 근본 원인이 StakeDAO 배포자 개인키(0x000755F…1ff62) 유출이라고 판단했습니다. 공격자는 해당 개인키를 획득한 후, vsdCRV 토큰 컨트랙트에서 setPeer 함수를 호출하여 LayerZero v2 OFT(Omnichain Fungible Token)의 크로스체인 피어 노드 설정을 재구성했으며, 원래 이더리움 메인넷의 합법적인 vsdCRVOFTAdapter를 가리키던 신뢰 관계를 공격자가 배포한 악성 컨트랙트로 유도했습니다. 신뢰 재유도가 완료된 후, 공격자는 Arbitrum에서 크로스체인 발행을 실행하여 대량의 vsdCRV를 무에서 생성하고 매도하기 시작했습니다. 또 한 건의 LayerZero 관련 크로스체인 취약점 이는 LayerZero 크로스체인 아키텍처가 올해 처음으로 공격 벡터가 된 사례가 아닙니다. 4월에 Kelp DAO가 북한 해커에게 2억 9300만 달러를 탈취당했으며, 공격자는 마찬가지로 LayerZero의 크로스체인 검증 메커니즘의 취약점을 이용했습니다. 다른 점은, Kelp DAO는 DVN(탈중앙화 검증 네트워크)의 단일 검증자가 뚫린 반면, StakeDAO는 배포자 개인키 자체가 유출되어 공격자가 컨트랙트 설정을 직접 수정할 수 있었다는 점입니다. StakeDAO의 vsdCRV는 Curve 생태계의 거버넌스 토큰으로, sdCRV 보유자가 veSDT를 위임하여 투표 가중치를 높일 수 있게 합니다. 이번 공격은 아직 진행 중이며, 최종 손실 금액은 공격자가 유동성 풀에서 얼마나 많은 ETH를 인출할 수 있는지에 달려 있습니다. Blockaid는 모든 사용자에게 StakeDAO 관련 모든 작업을 일시 중단할 것을 촉구했습니다. 오늘 OpenZeppelin 공동창업자 Manuel Araoz가 "모든 DeFi는 안전하지 않다"고 공개적으로 발언한 직후, StakeDAO 배포자 개인키 유출 사건이 발생하여 그의 판단을 다시 한번 입증했습니다. 자주 묻는 질문 이번 StakeDAO 공격의 수법은 무엇인가요? 공격자는 StakeDAO 배포자의 개인키를 획득한 후, 해당 권한을 이용해 LayerZero v2 OFT 크로스체인 컨트랙트의 피어 노드(setPeer)를 재구성하여, 신뢰를 합법적인 이더리움 측 컨트랙트에서 악성 컨트랙트로 유도했으며, 이어서 Arbitrum에서 5.4조 개 이상의 vsdCRV를 무에서 발행하고 ETH로 교환했습니다. vsdCRV는 어떤 토큰인가요? vsdCRV는 Stake DAO의 "Vote Boosted sdCRV" 토큰으로, Curve 생태계 거버넌스 시스템에 속합니다. 보유자는 veSDT를 위임하여 투표 가중치를 높일 수 있으며, Curve 관련 유동성 인센티브 투표에 사용됩니다. 공격자가 발행한 것은 Arbitrum의 크로스체인 버전입니다.