Bofur Capital, Compound 출금 후 주소 포이즈닝 공격으로 $2M 손실

BitcoinWorld

Bofur Capital, Compound 인출 후 주소 포이즈닝 공격으로 $2M 손실

블록체인 보안 업체 PeckShield에 따르면, Bofur Capital로 알려진 암호화폐 단체가 주소 포이즈닝(address poisoning) 공격으로 약 $2 million를 잃었습니다. 이번 사건은 피해자가 탈중앙화 대출 프로토콜 Compound에서 자금을 인출한 직후 발생했으며, 지갑을 겨냥한 사기가 점점 더 정교해지고 있음을 보여줍니다.

공격 전개 과정

PeckShield는 공격자가 피해자의 지갑으로 0.0002 USDC의 소액 ‘더스트(dust)’ 트랜잭션을 보내는 방식으로 수법을 시작했다고 보고했습니다. 이 트랜잭션은 피해자가 이전에 사용했던 합법적인 주소와 매우 유사한 가짜 주소를 피해자의 거래 내역에 생성하도록 설계되었습니다. 이후 피해자가 자금을 이체하려 할 때, 거래 내역에서 이 사기 주소를 복사하여 자금을 보냈고, 그 결과 $2 million의 손실이 발생했습니다.

PeckShield에 따르면 도난당한 자산은 이후 2 million DAI로 스왑되었으며 현재 주소 0xe2eB…1816a에 보관되어 있습니다. 자금은 아직 이동되지 않았지만, 이번 사건은 블록체인 거래의 되돌릴 수 없는 특성을 강조합니다.

주소 포이즈닝: DeFi의 증가하는 위협

주소 스푸핑(address spoofing)으로도 알려진 주소 포이즈닝은 사이버 범죄자가 피해자의 지갑으로 아주 적은 양의 암호화폐를 보내 거래 내역을 오염시키는 공격 유형입니다. 목표는 사용자가 이전에 사용한 주소와 유사하게 생긴 악성 주소를 복사하도록 유도하는 것입니다. 이 기술은 신뢰할 수 있는 소스를 통해 확인하는 대신 거래 로그에서 주소를 복사하는 일반적인 관행을 악용합니다.

이 공격 벡터는 사용자가 여러 지갑을 관리하고 다양한 프로토콜과 상호작용하는 DeFi 공간에서 점점 더 흔해지고 있습니다. 보안 전문가들은 자금을 보내기 전에 항상 전체 주소를 확인하거나, 주소록을 사용하거나, 별도의 화면에 전체 주소를 표시하는 하드웨어 지갑을 사용할 것을 권장합니다.

암호화폐 사용자에게 이것이 중요한 이유

Bofur Capital 사건은 암호화폐 생태계의 숙련된 참여자조차 이러한 사기의 피해자가 될 수 있다는 점을 극명하게 상기시켜 줍니다. 단 한 번의 거래로 $2 million를 잃은 것은 특히 거액을 송금할 때 경계심을 높여야 할 필요성을 강조합니다. 사용자는 거래 내역이 조작될 수 있으므로 주소를 확인하기 위해 거래 내역에만 의존해서는 안 됩니다.