탈리스 프로토콜(Talis Protocol)의 인젝티브 기반 마켓플레이스·경매 계약 취약점이 악용돼 에스크로에 있던 대체 불가능 토큰(NFT) 약 5700개가 무단 인출됐다. 탈리스는 신규 등록과 경매를 중단했다.
탈리스는 10월 31일 사건을 공개했다. 인젝티브 기반 계약의 취약점을 악용한 공격이었다고 크립토브리핑(Crypto Briefing)은 전했다.
공격자는 계약에서 빼낸 NFT를 기존 컬렉션 단위 매수 제안에 팔았다. 공격자 수익은 약 445 인젝티브(INJ), 약 3100달러(약 414만원)로 보도됐다.
이 수익은 공격자가 NFT를 매각해 얻은 금액이다. 유출된 NFT 약 5700개의 전체 평가액이나 소유자들의 손실액을 뜻하지는 않는다.
컬렉션 단위 매수 제안은 특정 컬렉션의 NFT를 사겠다며 공개적으로 내놓은 입찰이다. NFT 소유자는 해당 제안을 받아들여 거래할 수 있다.
이 거래 방식 때문에 반환·보상 논의에는 NFT를 맡긴 소유자뿐 아니라 공격자가 기존 매수 제안에 팔아 넘긴 NFT를 취득한 입찰자도 포함된다. 탈리스는 영향을 받은 NFT와 무단 인출 전 소유자, 매각에 이용된 제안을 기록하고 있다고 전해졌다.
탈리스의 프로토콜 문서는 직접 판매와 경매 외에도 미등록 NFT 매수 제안과 개인 간 거래 기능을 설명한다. 공식 사이트에는 인젝티브 외에 Xion과 Orai에서도 마켓플레이스를 운영하는 것으로 나와 있다.
이번 취약점이 악용된 곳은 인젝티브의 탈리스 계약이다. 보도된 중단 조치는 탈리스의 거래 기능에 관한 것이며, 인젝티브 블록체인 전체가 멈췄다는 근거는 확인되지 않았다.
크립토브리핑은 계약에 보관돼 있던 NFT 2만6000개 이상을 소유자에게 돌려보내는 절차에 착수했다고 전했다. 탈리스 공식 X 게시물을 직접 열람할 수 없어 반환 완료 여부는 확인되지 않았다.
2만6000개 이상은 계약에 보관돼 있던 NFT의 반환 절차에 관한 수치로, 공격자가 빼낸 약 5700개의 회수량을 뜻하지 않는다. 탈리스는 수정 계약을 배포 전에 검토하고 있으며, 영향을 받은 NFT 목록과 사고 분석을 공개할 계획이라고 전해졌다.
신규 등록과 경매의 재개 일정, 구체적인 보상 방식은 제시되지 않았다.
<Copyright ⓒ TokenPost, unauthorized reproduction and redistribution prohibited>
Most Popular