약 780만달러(약 106억원) 규모의 rsETH 약 2,900개를 빼돌리려던 공격이 MEV 봇 'yoink'에 선점됐다. 봇은 이 과정에서 rsETH 2,882개를 다른 주소로 옮겼다.
코인데스크(CoinDesk)는 15일 보도에서 공격자가 세이프(Safe) 다중 서명 지갑이 승인한 Multicall 계약의 권한 검증 결함을 이용해 자산을 이체하려 했다고 전했다. yoink는 공개 거래 풀에서 해당 거래를 발견한 뒤 약 4만7000달러(약 6400만원)의 수수료를 지불하고 먼저 체결한 것으로 전해졌다.
BlockSec·Blockaid·SlowMist·AstraSec은 취약점이 세이프 핵심 계약이 아니라 사용자가 직접 승인한 보조 구성요소의 권한 검증에서 발생했다고 밝혔다. rsETH 발행사 Kelp DAO는 수신 주소에 24시간 중단 조치를 시행했다.
<저작권자 ⓒ TokenPost, 무단전재 및 재배포 금지>
많이 본 기사