솔라나 기반 텍스처 파이낸스, 해커와 협상으로 탈취 자금 90% 회수 성공

탈중앙화 금융(DeFi) 세계에서 드문 외교적 승리를 거두며 텍스처 파이낸스(Texture Finance)가 해커와 합의에 도달한 후 최근 익스플로잇에서 손실된 자금의 대부분을 회수했다.

10일(현지시간) 크립토폴리탄에 따르면, 공격자는 솔라나 기반 프로토콜의 공개 포상금 제안에 따라 탈취한 220만 달러 USDC의 90%를 반환했으며, 추가 확대와 범죄 추적을 피했다.

7월 9일 텍스처 파이낸스가 공개한 이 익스플로잇은 볼트 스마트 계약 중 하나의 취약점에서 비롯되었으며, 프로토콜은 USDC 볼트에만 영향을 미쳤다고 밝혔다.

팀은 엑스(X)의 공개 게시물에서 "텍스처 볼트 계약의 보안 침해를 발견했으며, USDC 220만 달러 상당의 사용자 자금이 손상되었다"고 썼다.

출금은 즉시 비활성화되었고, 텍스처는 감사관들이 대기하고 코드 패치가 진행 중인 "워룸" 대응을 시작했다.

후속 메시지에서 팀은 해커에게 공개 호출을 발표했다. "탈취된 자금의 10% 포상금을 제공하며, 나머지 90%를 반환하면 이를 가질 수 있다... 당신은 작전 보안 실수를 했지만, 상황을 확대하는 것을 피하기에는 아직 늦지 않았다."

그들은 공격자가 7월 11일 18:00 UTC까지 응답하지 않거나 자금을 이동시키려고 시도한다면 블랙햇으로 간주되어 법 집행기관에 신고될 것이라고 덧붙였다.

마감일 하루도 안 되어 공격자는 탈취한 자금의 90%를 지정된 텍스처 SOL 주소로 반환하여 사실상 10% 포상금을 받았다고 보도되었다.

텍스처는 7월 10일 새로운 게시물에서 "해커가 합의의 자신의 부분을 이행했기 때문에 이 문제를 더 이상 추구하지 않을 것"이라고 발표했다. "여러분의 인내와 이해에 진정으로 감사하며, 솔라나 생태계의 놀라운 동지애 정신에 감사한다."

자금 반환은 이 사건을 공격자들이 취약한 프로토콜을 침해하지만 궁극적으로 면책이나 포상금을 대가로 자금의 대부분 또는 전부를 반환하기로 선택하는 소위 "그레이햇" 익스플로잇의 증가하는 범주에 포함시킨다.

예를 들어 4월에 ZKSync를 익스플로잇한 공격자는 커뮤니티 압력과 공개 협상에 따라 유사한 10% 거래를 수락한 후 540만 달러를 반환했다.

이 접근법은 온체인 활동이 투명하고 항상 즉각적이지는 않지만 귀속이 해커들을 현실 세계의 결과에 노출시킬 수 있는 DeFi 세계에서 더 일반적이 되었다.

그럼에도 불구하고 많은 이들이 이 전술에 대해 비판적으로 남아 있으며, 윤리적 해킹과 갈취 사이의 경계를 흐린다고 주장한다.

텍스처 파이낸스에 따르면, 완전한 수정이 이미 개발되었고 현재 감사를 받고 있다. 팀은 7월 10일 게시물에서 "코드 수정을 마무리하고 감사관과 함께 철저한 검토를 완료하고 있다. 업데이트된 계약이 곧 재배포될 것"이라고 말했다.

그 동안 텍스처는 사용자 출금을 비활성화된 상태로 두고 상환이 "표준 모드"에서 기능한다고 사용자들에게 조언했지만, 정상 운영 재개에 대한 구체적인 일정은 제공하지 않았다.

이 사건은 DeFi 보안에서 격동의 한 주를 더한다. 텍스처의 침해가 발생한 같은 날, 무기한 프로토콜 GMX가 아비트럼에서 별도의 익스플로잇을 당해 4200만 달러의 손실을 입었으며, 프로토콜은 해커에게 10% 화이트햇 포상금을 제안했다.

이러한 사건들은 특히 상호 운용성이 증가하고 스마트 계약이 더 복잡해짐에 따라 DeFi 프로토콜이 직면한 지속적인 보안 문제를 강조한다. 잘 검증된 플랫폼도 취약점이 발견되지 않으면 표적이 될 수 있다.