[ValueDeFi/BSC] 8790 BNB 상당의 해킹을 당한 밸류디파이

안녕하세요, 디온입니다. 어제(5월 5일) 우리나라 시간으로 12:22경에 바이낸스 스마트 체인의 일드 옵티마이저이자 애그리게이터인 밸류디파이의 해킹 사고가 벌어졌습니다.

• 원문 링크 : vStake Pool Incident Post-Mortem

1. 사건 요약

5월 5일 3:22 AM UTC에 해커는 풀을 초기화하고 해당 풀의 운영 권한을 자신의 계정으로 지정한 뒤에 _stakeToken을 HACKEDMONEY로 설정하였습니다. 이를 통해 풀의 제어 권한을 가진 해커는 governanceRecoverUnsupported() 메서드를 콜하고 vBSWAP/BUSD LP토큰을 모두 빼냈습니다.

이번 해킹사고로 밸류디파이의 vStake에 vBSWAP토큰을 스테이킹 중이었던 사용자들의 모든 자산이 유실되었으며, 해커가 탈취한 자산은 약 8790.77 BNB에 해당하는 7342.75 vBSWAP입니다.

해커는 탈취한 vBSWAP을 1인치를 통해 BNB로 교환한 뒤에 BNB와 BUSD로 renBTC를 구매하여 renBridge를 통해 전량을 비트코인으로 교환해나가는 방법을 통해 엑싯을 하였습니다.

• 해커의 비트코인 주소 : https://www.blockchain.com/btc/address/1Cm6WGvXQ9EgvvWX5dRsBxE2NvxFjfbcVF

2. 문제의 원인

이번 해킹의 원인은 문제가 된 풀의 함수에서 initialized = true;라는 코드 한 줄이 누락된 인적오류였으며, 코드를 병합하는 중에 누락이 발생한 것으로 확인이 됩니다.

3. 진행 상황

• ValueDeFi 팀에서는 즉시 문제를 확인 후 코드를 수정했습니다.
• 문제는 수익 보상을 WBNB+BUSD로 지급하는 vStake 풀 1개에서 발생했으나 나머지 풀들에 대해서도 12시간 락업을 걸었습니다.
• 현재 리저브 펀드에 보유 중인 자금은 보험을 통해 해결하는데 사용되며 파트너인 Soteria와 세부사항을 논의할 예정이라고 합니다.

4. 피해자 구제 방안

• 현재 밸류디파이의 리저브 펀드에는 2802.75 vBSWAP을 보유하고 있습니다.
• 리저브 펀드에서 보유 중인 2802.75 vBSWAP과 밸류디파이 디플로이어에 보유 중인 205,659.22 BUSD는 이번 해킹 피해로 손해를 본 사용자들에게 보상을 하는데 전액 사용됩니다.
• 문제는 피해액 중에서 리저브 펀드와 디플로이어에 보유 중인 자산을 초과하는 4540 vBSWAP (=7342.75-2802.75)입니다

현재 밸류디파이팀에서 제안하는 피해자 구제 방안은 2가지 옵션으로 나눠지며 투표를 통해 결정이 될 예정입니다.

[옵션1]

• 4540 vBSWAP을 추가로 발행하여 즉시 보상하는 방안
• 이 방안은 밸류디파이 개발팀에서 신속하게 수행할 수 있으며 더 많은 워크로드를 유발하지 않기 때문에 계속해서 중요한 개발 작업을 진행할 수 있습니다.

[옵션2]

• 옵션1의 절반인 2270 vBSWAP을 즉시 보상하고, 나머지 절반은 3개월에 걸쳐 리펀드 컨트랙트로 발행을 하는 방안
• 이 방안은 개발팀에서의 추가 작업이 필요하므로 더 많은 워크로드를 유발하게 됩니다.

두 옵션 모두 발행 후에 리저브 펀드에 향후 축적되는 후속 vBSWAP토큰을 6개월에 걸쳐 소각하게 됩니다. 어찌되었든 추가적으로 vBSWAP토큰이 추가로 발행되기 때문에 4540 vBSWAP이 완전히 소각이 되어야만 공급량이 정상으로 돌아가게 됩니다.

5. 개인적인 생각

개인적으로 이더리움에서 나름 잘 운영을 해왔던 팀이 바이낸스 스마트 체인으로 생태계를 확장을 했던 서비스라 밸류 디파이를 긍정적으로 보고 꽤나 큰 시드를 투자를 해왔으나 런칭 후 인플레이션 이슈, 파트너십 프로젝트의 먹튀 이슈, 이번 해킹 이슈까지 다양한 사고를 치는 것을 보고 있으니 예전의 바지락(bZx Protocol)이 생각이 나네요.

어떤 식으로 보상을 하든 앞으로 밸류 디파이를 믿고 vBSWAP에 투자를 하는 사용자들은 많기가 힘들 것 같고 이번 사태를 통해 다시 한 번 외부 코드감사 업체의 오딧과 보험 가입 여부가 중요한 이슈로 떠오를 것으로 보입니다.

 

[암호화폐(디지털자산) 거래소 거래수수료 할인 가입링크 안내]

① 바이낸스(Binance.com) 가입링크 (거래수수료20% 페이백) : 바로가기
② 바이낸스 선물 가입링크 (1달간 거래수수료 10% 페이백) : 바로가기
③ 고팍스(GOPAX) 거래소 가입링크 (가입즉시 5,000원 원화 또는 코인지급) : 바로가기
④ FTX파생상품 거래소 가입링크 (거래수수료 5% 페이백) : 바로가기
⑤ 코인원(Coinone) 거래소 가입링크 (거래수수료 10% 페이백) : 바로가기
⑥ 폴로닉스(PolonieX) 거래소 가입링크 (거래수수료 10% 페이백) : 바로가기
⑦ OKEx 거래소 가입링크 (110달러 리워드+40달러 수수료쿠폰) : 바로가기
⑧ 코인리스트(CoinList) 토큰세일 플랫폼 가입링크 (100달러 이상 거래시 10달러 상당의 BTC지급) : 바로가기
⑨ 후오비 글로벌 가입링크 : 바로가기
⑩ 후오비 코리아 가입링크 : 바로가기

• 바이낸스 디파이 스테이킹 : https://bit.ly/35JyuyA
• 바이낸스 고정 스테이킹 : https://bit.ly/2TuPBP3
• 바이낸스 가격 확인하기 : https://bit.ly/3fYMNTp
• 바이낸스 예금 확인하기 : https://bit.ly/2CP3t1S
• 바이낸스 앱 다운로드(안드로이드): https://bit.ly/39MRgFs
• 바이낸스 앱 다운로드(iOS): https://apple.co/2xy8b1c
• 바이낸스 공식 커뮤니티(KR): https://t.me/binancekorean
• 바이낸스 공식 공지방(KR): https://t.me/binancecomkr