크로스체인 브리지 올브리지(Allbridge) 공격에 위조된 시시티피(CCTP) 메시지와 플래시론이 악용됐다는 보안 분석이 나왔다. 피해 규모는 약 19만 달러(약 2억6300만원)로 추산됐다.
슬로우미스트(SlowMist)는 분석글에서 공격자가 지난 7월 26일 폴리곤(Polygon)에서 서클(Circle)의 MessageTransmitterV2 계약을 직접 호출해 100만 유에스디코인(USDC) 전송처럼 보이는 메시지를 만들었다고 밝혔다. 이 과정에서 실제 USDC 소각은 발생하지 않았지만, 메시지 자체에 대한 서명 검증은 통과한 것으로 분석됐다.
슬로우미스트는 공격자가 8월 19일 베이스(Base) 라우터에 실제 입금분 약 19만1156 USDC가 쌓인 직후 공격을 실행했다고 밝혔다. 공격자는 에이브(Aave) 플래시론으로 라우터 잔액을 일시적으로 100만 USDC 수준까지 맞춘 뒤, 내부 입금 기록을 근거로 99만9000 USDC를 빼낸 것으로 지목됐다.
슬로우미스트는 올브리지의 CCTPTokenMessenger 계약이 메시지 헤더의 sender와 recipient 검증을 충분히 하지 않았고, 라우터의 USDC 잔액이 실제로 증가했는지도 다시 확인하지 않았다고 설명했다. 슬로우미스트는 인증된 메시지가 곧 실제 자산 이동을 뜻하지는 않는다며, 신뢰할 수 있는 발신자·수신자 검증과 실제 민팅 확인이 필요하다고 밝혔다.
<저작권자 ⓒ TokenPost, 무단전재 및 재배포 금지>
많이 본 기사