• Edel Finance는 공격자가 토큰화된 구글 주식의 래핑 메커니즘을 조작하여 담보 가치를 약 78배로 부풀리고 약 403,000달러의 부실 채무를 생성한 후 버전 1 대출 프로토콜을 중단했습니다.
• 이 공격은 잘못된 가격 오라클에서 비롯된 것이 아닙니다. Chainlink 피드는 Alphabet의 주가를 정확히 보고했지만, GOOGLx가 래핑된 형태인 wGOOGLx로 변환되는 방식에서 문제가 발생하여 공격자가 잘못된 담보를 기반으로 실제 자산을 대출받을 수 있었습니다.
• Edel은 모든 손실을 흡수하여 예금자들이 손실을 보지 않도록 할 것이며, 유사한 가격 조작 공격을 방지하기 위해 재설계된 버전 2 시스템을 출시하고, 거래소와 협력하여 공격자에게 화이트햇 합의를 제안했습니다.

토큰화된 주식 거래 플랫폼 Edel Finance는 화요일에 공격자가 토큰화된 주식의 가격을 조작하여 실제 가치의 약 78배로 부풀린 담보를 기반으로 대출을 받아 약 403,000달러의 부실 채무를 남긴 후 대출 프로토콜을 일시 중단했다고 팀이 밝혔습니다.

공격 대상은 Alphabet의 구글 주식의 토큰화된 버전이었습니다. Edel Lending은 토큰화된 주식 GOOGLx의 래핑된 형태인 wGOOGLx를 담보로 수용했습니다.

래핑된 토큰은 특정 프로토콜 내에서 작동하도록 재포장된 자산의 버전으로, 기본 자산을 일대일로 추적하도록 설계되었습니다. 공격자는 두 자산 간의 환율을 조작하여 wGOOGLx가 실제 가치의 약 78배로 평가되도록 한 후, 그 가상의 담보를 사용하여 프로토콜에서 실제 자산을 대출받았습니다.

가격 자체는 약점이 아니었습니다. Edel은 블록체인에 실제 세계의 가격을 제공하는 표준 서드파티 서비스인 Chainlink 오라클을 사용했으며, 이는 약 357달러의 정확한 구글 주가를 보고하고 있었습니다.

문제는 래핑 메커니즘에 있었습니다. 공격자는 GOOGLx가 wGOOGLx로 변환되는 방식을 방해하여, 기본 가격 피드가 정확함에도 불구하고 담보가 잘못된 가격으로 평가되도록 했습니다.

Edel은 공격을 감지하고 차단한 후 모든 버전 1 계약을 일시 중단했으며, 사용자들에게 해당 계약과 상호작용하지 말 것을 경고했습니다.

팀은 공격자의 거래를 추적하고 있으며, 거래소와 협력하고 있으며, 공격자에게 화이트햇 합의를 제안했다고 덧붙였습니다. 이는 해커가 대부분의 자금을 반환하고 수수료를 받으며 법적 추적을 받지 않는 거래입니다.

어떤 예금자도 손실을 입지 않을 것이며, Edel은 부실 채무를 흡수하고 잔액을 일대일로 복원할 것입니다. 이와 같은 조작을 차단하기 위해 재설계된 가격 설정을 갖춘 버전 2를 배포하고 있으며, 전체 기술적 분석을 제공할 예정입니다.

금액은 작지만, 이 방법은 DeFi의 가장 지속적인 공격 범주 중 하나에 속합니다.

프로토콜이 읽는 가격을 조작하는 것은 이를 침입하는 것보다 두 번째로 흔한 스마트 계약 취약점으로, OWASP 스마트 계약 상위 10 취약점 목록에 올라 있으며, CertiK의 보안 연구원들은 오라클 가격 조작을 이 분야의 가장 흔한 공격 벡터 중 하나로 설명합니다.

올해 가장 큰 단일 절도를 발생시킨 크로스체인 브릿지와 함께, 가격 조작은 많은 돈이 계속해서 유출되는 곳이며, 대부분의 경우 코드가 작성된 대로 작동합니다.

토큰화된 주식은 그 표면을 확장합니다. 구글과 같은 주식을 온체인에 올리는 제품은 DeFi의 가장 빠르게 성장하는 부분 중 하나이며, 자산과 그 가격 사이에 또 다른 레이어를 추가합니다: 주식을 담보로 변환하는 래핑 및 변환 단계입니다.