원래 제목: Rewind 20 Stolen Incidents: 왜 원은 항상 도난
에 의해 원래: 창간, Biteye

4 월 2026에서, Kelp DAO stole $292 백만, 그리고 공격자는 아브에 실제 자산을 빌려, 이상 발생 $200 만 나쁜 채무에서 46 분。

이것은 올해부터 도난의 많은 사건 중 하나입니다, 드리프트에 의해 $ 285 백만 도난, 에 대해 $30 단계 금융에 의해 도난, 에 대해 $23 백만 Resolv Labs에 의해 도난, 그리고 또 다른 한 후, 업계가 반응 할 수, 다음 도난 프로젝트가 등장했습니다。

이 이벤트 뒤에 패턴이 있습니까? 해커가 거래를 공격하는 방법

이 종이는 역사에서 도둑의 가장 대표적인 사례 20를 함께 가져와 최근 과거에, 그리고 답변을 추구합니다。

컴파일된 20개의 케이스에 따르면, 3개의 명확한 본이 있습니다:

• 기술 격차는 대부분이지만, 단일 손실은 상대적으로 제한적입니다. 사회 작업의 권위와 공격의 몇 가지 사례는 대다수의 손실에 기여합니다。

:: 공인된 카테고리 공격의 규모는 에스컬레이트로 계속됩니다. 20개의 경우, 손실의 4개의 가장 큰 사건은 한국의 해커의 외관 뒤에 있었습니다。

• 기술 간격의 전장은 움직이고 교량은 결코 안전하지 않았습니다。

I. 상위 10 Stolen 프로젝트

1. 프로젝트의 이름: Bybit (stolen 금액: $1.5B | 시간: 2월 2025)

도둑질을 위한 이유:

북한 해커 조직 Lazarus Group (FBI 및 ZachXBT 높은 신뢰 attribution, 코드 이름 "Operation Trader Traitor")는 프론트 엔드 UI hijacking + Safe Wallet의 다중 서명 메커니즘을 파괴하는 다중 서명 사기를 사용합니다。

공격자는 Bybit 핵심 개발자 장비를 통합하고 지갑의 앞에 악의적인 JavaScript 코드를 주사했습니다. 다중 서명 홀더 (6개의 서명)가 정규적인 찬 지갑 이동을 실행할 때, UI는 정상적인 수집 주소 및 총계를 보여줍니다, 그러나 밑바닥 전화 자료는 assailant의 주소에 401,000 ETH로 탬퍼됩니다. signatories의 3/6은 거래와 자금을 즉시 잃었습니다。

기본 문제:다중 서명 relying 기계 상호 작용하는 층은, 정면 끝이 무소속적으로 mathematical 안전 inactive를 렌더링하기 위하여 유효하지 않습니다; Tether는 시간 동안 관련 USDT를 동결, Circe는 24 시간 동안 USDC를 동결하면서, 손실을 배부. 이 사건은 Safenet과 같은 거래의 네트워크에 방사하는 중앙 화학 무역 플랫폼에 치명적인 위협으로 사회 노동자 + UI 공격을 드러냈습니다。

사건은 드리프트 프로토콜 (April 2026, $285M)과 매우 유사했습니다. 대상 사회 노동자는 신뢰를 구축하고, UI/signature 사기에 따라 계약 루프홀에서 "human 약점"으로 해커의 이동을 표시했습니다。

BY-UP에서 Bybit은 신속하게 자신의 자금을 사용하여 모든 손실을 충분히 덮고 사용자가 0을 잃고 플랫폼이 꾸준히 작동한다는 것을 보장합니다。

2. 프로젝트의 이름: 론인 네트워크 (단일 금액: $624M 시간: 월 2022)

도둑질을 위한 이유:

한국의 해커 조직 Lazarus Group은 사회 공학 및 뒷문 수단을 통해 검증 노드의 개인 키의 전체 제어를 성공적으로 수행했습니다。

공격자는 Sky Mavis 내부 시스템을 침입했으며, Gas-free RPC 노드의 뒷문을 사용하여 9개의 유효성 검사 노드의 5을 제어했습니다 (를 포함하여 4 Sky Mavis 노드 및 1 Axie DAO 노드). 따라서, 그들은 173,600 ETH 및 25.5M USDC의 불법 인출 결과로 두 개의 가짜 인출 거래를 건설했습니다。

사건의 뿌리 원인은 몇 가지 노드에서 교량의 설계에서 인증 권리의 높은 농도이었다. 가동을 완료하는 9개의 서명 중 5의 문턱은 사회 노동자에 의해 표적으로 한 공격의 얼굴에 거의 비 존재합니다。

3. 프로젝트의 이름: 많은 네트워크 (합계량: $611M 시간: 2021년 8월)

도둑질을 위한 이유:

PolyNetwork의 도난에 대한 중앙 이유는 크로스 체인 계약의 규제 설계에서 심각한 간격입니다。

EthCross ChainManager와 EthCross ChainData 사이의 관계를 사용하여 공격자는 강제적인 기능을 위조했습니다。

EthCrossChainManager 자체는 Keeper 공공 키를 수정하기 위해 전원을 가지고 있으며, 호출에 사용되는 방법 매개 변수는 사용자에 의해 사용자 정의 될 수 있으므로, assailant는 성공적으로 PutCurCouchConKeyBytes 함수를 호출하여, 그렇지 않으면 높은 권한으로 실행되었습니다。

그 결과, 공격자는 합법적 인 관리자의 그와 함께 대중 키를 대체, 크로스 체인 자산을 제어하고 결국 여러 체인에서 돈을 전송。

4. 프로젝트의 이름: Wormhole (stolen 총계: $326M 시간: 2월 2022)

도둑질을 위한 이유:

정상적인 상황에서, 사용자가 하나의 체인에서 다른 자산을 이동하기 위해, 시스템은 먼저 자산이 실제로 예금되고 그 서명이 사실인지 확인해야합니다, 그래서 해당 자산은 다른 체인에 생성됩니다。

Wormhole의 문제는 "시그니처의 인증"단계입니다. Wormhole 코드는 하나를 사용합니다그것은 outdated거래가 합법적인지 확인하기 위한 , 그리고 더 적은 안전한 기능. 이 함수는 시스템 앞의 서명 인증이 실제로 완료되었는지 확인합니다. 그러나, 그것의 검사는 엄격하지 않았고 공격자는 그들을 활용할 수있는 기회를 준。

이 루프홀을 사용하여 공격자는 크로스 체인 작동이 현실이라고 생각하기 위해 "verified"가 등장한 정보 세트를 위조했습니다. 다른 말에서, 시스템은 "돈은 정말 "첫 번째로 잠겨있다, 그러나 인증 체인이 우회 된 때문에, 시스템은 직접 공격자가 제출 한 거짓 인증서를 신뢰。

결과적으로 공격자는 실제로 충분한 자산을 입금하지 않고 많은 WeTHs를 만들었습니다. 이 자산은 생성되고 더 이전되고 개조되었습니다, Wormhole를 위해 약 $ 326 백만의 손실을 초래。

5. 프로젝트 이름: 드리프트 프로토콜 (단일 금액: $285 M-time: April 2026)

도둑질을 위한 이유:

DPRK 해커 조직은 6 개월의 표적 침투를 경험했으며 Solana 튼튼한 Nonce pre-signed 계획과 함께 공격을 완료했습니다。

2025 년 가을 이후 공격자는 정량 거래 회사로 분리되어 국제 암호화 회의에서 드리프트 기여자와 오프라인 신뢰 관계를 구축하고 생태계 폭력에서 1 백만 달러 이상을 투자하여 신뢰성을 구축합니다. 자신감을 얻기 위해 공격자는 보안위원회 회원을 사전 서명 한 눈에 띄는 트랜잭션으로 경고했습니다. Solana 's 튼튼한 Nonce 메커니즘을 사용하여 관리 지침의 전송을 숨깁니다. 동시에, Drift는 단지 0 지연으로 마이그레이션을 완료했다, ex post detection and intervention에 대한 창 제거。

계약을 규제하기 위해 권리를 취득 한 후, 공격자는 수백 달러의 실제 유동성으로 가짜 CVT를 등록하고 자신의 가짜 제조 가격을 판매함으로써, 그들은 계약에 담긴 500 만 CVTS를 입금, USDC, SOL 및 ETH에서 $ 285 백만. 전체 구현 단계는 12 분 만 지속됩니다。

공격은 공식 드리프트 및 SEAL 911 보안 팀에 의해 DPRK 관련 조직 (국가 책임있는 해커 조직), 한국 국가가 아닌, 그들의 통제 아래 제 3 자 중개인。

6. 프로젝트의 이름: WazirX (자본 금액: $235M |: 7월 2024)

도둑질을 위한 이유:

공격의 핵심은 지갑과 악의적인 계약으로 기적적인 보충의 영광이었다。

공격자는 먼저 일부 서명의 권위를 취득 (직접 폭행 및 서명 유도 포함) 낚시 등에 의해. 그 기초에, 다른 signatories는 지식없이 악성 거래를 승인 할 수있는 위조 된 인터페이스에 의해 잘못되었다。

충분한 서명을 수집 한 후, 공격자는 직접 자산을 전송하지 않았다, 대신 여러 지갑을 사용Upgradable 기계장치계약 업그레이드 운동은 배포에 대한 악성 계약으로 원래의 성능 계약을 대체하기 위해 수행되었습니다。

악의적 인 계약이 새로운 구현 논리로 설정되면, 모든 후속 거래가 리디렉션되고 자금은 공격자의 '주소로 계속됩니다. 궁극적으로, 다수 지갑의 통제는 완전히 위에 가지고 가고 사슬 자산은 점차적으로 옮깁니다。

7. 프로젝트 이름: Cetus (단축량: $223M |: May 2025)

도둑질을 위한 이유:

계약의 s 계산에서 틈에서 공격 arose。

특히, Cetus가 큰 숫자를 처리하기 위해 사용하는 수학 함수의 경계 오류가 있습니다. 값이 중요한 점에 도달 할 때, 시스템은 올바르게 임의 유출을 식별하지 않고 지속적으로 계산하고, 비정상적으로 확대 된 결과에 결과를 나타냅니다。

공격자는이 주위에 과정을 구성:

극단적인 가격 조건은 큰 거래를 통해 생성됩니다, 유동성 위치는 특정 지역에서 창조되고 자산의 단지 아주 작은 양은 투자됩니다 (산업 수준). 이러한 조건에서, 계약의 유출은 방아쇠를 당했다, 이는 aggressor가 실제 입력보다 훨씬 유동성의 공유를받을 수 계산 시스템을 주도했다。

따라서 공격자는 이러한 증폭 된 주식을 사용하여 유동성 작업의 제거를 수행하고, 더 많은 자산을 풀보다 투자했다. 전체 프로세스는 반복 될 수 있으며, 풀에서 자금을 계속 인출하는 결과, 이는 궁극적으로 대규모 손실에 결과。

8. 프로젝트의 이름 : 갈라 게임 (총 금액 : $ 216 M-time : May 2024)

도둑질을 위한 이유:

이 공격의 핵심은 고위성 동전 계정의 개인 키가 깨지고 액세스 제어가 실패한 것입니다。

Gala의 계약 자체에는 연산 기능에 제한이 있지만, 광부 계정의 주요 홀더 중 하나는 인수됩니다. 계정은 오랫동안 사용되지 않았지만 전체 및 높은 특전을 유지합니다。

계정의 제어를 얻기 위해서는 계약 'S SEIGNIORAGE라고 불리는 ASSAILANTS는 약 5 억 GALA 토큰을 주조하고 개인 주소로 전송합니다. 따라서, 공격자는 배치에 시장에 ETH로 동전을 변환하고 그들을 현금으로。

전체 프로세스는 스마트 계약 루프홀을 활용하지 않았지만 법적 권한을 통해 악성 행위를 직접 수행했습니다。

9. 프로젝트의 이름: Mixin 네트워크 (단축량: $200M 시간: 9월 2023)

도둑질을 위한 이유:

공격의 심장에서 Mixin은 중앙 관리 된 클라우드 데이터베이스에서 개인 키를 유지했다。

Mixin Network는 총 35개의 메인 노드가 48개의 공개 체인 크로스체인 전송을 지원하도록 합동적으로 유지되었지만, 많은 예금 주소에 대한 뜨거운 지갑과 개인 키는 "recoverable" 방식으로 타사 클라우드 서비스 제공업체의 데이터베이스에 저장됩니다. 23 9 월 2023의 초기 시간에서 공격자는 데이터베이스를 입력하고 대량의 개인 키를 추출했습니다。

개인 키가 얻을 때, ASSAILANT는 어떤 계약 논리를 부수하지 않으며 법적 능력에서 직접 송금을 서명해야합니다. 체인 레코드는 잔액이 낮은 순서로 인해 잔액이 약 $ 95.3 백만 ETH, $ 23.7 백만 BTC 및 $ 23.6 백만 USDT를 포함한 주요 자산과 함께 10,000 개 이상의 트랜잭션을 지속하는 데 많은 시간이 걸리는 것을 보여줍니다. USDT는 냉동을 피하기 위해 DAI로 빠르게 변환되었습니다。

10. 프로젝트의 이름: 유러 금융 (훔친 금액: $197M 월 2023)

도둑질을 위한 이유:

공격의 심장에 대한 책임의 계산 논리와 플래시 시설에 의해 주장이었다。

특히, Euler의 DonateToReserve 함수는 eToken을 파괴하지만, 모기지 자산을 나타내는 것은 동시에 dToken을 파괴하지 않았다, 부채를 나타내는, 시스템의 “collateral”과 “liability” 대응의 고장。

이러한 경우, 합의는 잘못된 자산의 감소와 부채의 구조의 변화가 비정상적인 자산 상태를 만듭니다。

공격자는이 주위에 작동 절차의 집합을 건설:

첫째, 당신은 플래시 대출을 통해 큰 금액을 빌려, 당신은 계약에 입금 및 대출, 당신은 eToken과 dToken의 양을 다시 엔진. 위에서 언급 한 논리적 부족을 사용하여 시스템은 잘못된 자산 / 신뢰성 위치를 생성하는 것을 계속합니다. 실제 담보 용량을 넘어 차용 라인을 얻는 것이 있습니다。

탁월한 향상된 대출 용량을 얻기 위해 공격자는 배치에서 자금을 인출하고 다양한 자산 (DAI, USDC, stETH, wBTC)을 통해 전송합니다. 프로세스는 단일 거래에서 완료되었으며, 여러 작업을 통해 진행은 약 $ 197 백만의 손실로 인해 증폭되었습니다。

II. 10 최근 도난 프로젝트

1. 프로젝트 이름: Hyperbridge (단축량: 약 $2.5 백만, 4월 2026)

도둑질을 위한 이유:

이 이벤트의 핵심은 토큰 게이트웨이 논리가 흠뻑 빠르다는 증거입니다。

MMR (Merkle Mountain Range)을 사용하여 입력 검증이 누락 된 것을 증명하기 위해 공격자는 통과하지 않은 크로스 체인 인증서를 위조했습니다. 시스템 실수로 인해 유효 증명으로이 잘못된 인증서를 처리, 공격자는 Etherject에서 DOT 계약에 액세스하기 위해 더 규제 기관을 부여, 그 다음 일부 1 억 가짜 Bridged DOTs를 발견하고 Dex에서 판매。

동시에 공격은 Ethereum, Base, BNB Chain 및 Arbitrum에서 DOT 풀에 영향을 미쳤습니다. 이는 공식 당국에 의해 계속해서 약 US$ 237,000의 예상된 손실을 반영하기 위해 수정되었습니다。

2. 프로젝트의 이름 : 비너스 프로토콜 (총액 : 약 $ 3.7 ~ $ 5 백만, 3 월 2026)

도둑질을 위한 이유:

이 공격의 심장에서 우회 할 수있는 surply cap 검증이며, superseding 환율 계산의 논리가 사용됩니다。

특히, 시장 펀드의 계산 중, 비너스는 직접 계약에서 실제 균형을 읽기 위해 balanceof()를 사용합니다. 그러나, subply 모자의 한계는 mint() 프로세스에서만 검사됩니다。

아래 자산 (ERC-20 전송)을 vToken 계약에 직접 전송함으로써 공격자는 mint()를 우회하여 확장 캡 검증을 피합니다。

이 자금은 계약 균형에 포함 된 것과 같이, 시스템은 계산 환율에서 증가 한 풀 자산을 고려했지만 해당 vToken 수량은 증가하지 않았지만, 비정상적인 높은 환율로 인해 발생합니다。

이러한 경우, 공격자의 손에 원래 담보 자산의 값은 증폭되어 실제 대출 용량보다 훨씬 높은 결과로。

Subsequently, the attackers, using the improve collateral value, 반복적으로 차입 및 제기 가격 및 주기에서 빌려, 계약에서 여러 자산을 추출, 약의 손실에 결과 $5 백만。

3. 프로젝트 이름: Resolv Labs (stolen 금액: 약 $23 받는 사람 $25 백만, 행진 2026)

도둑질을 위한 이유:

공격의 심장은 열쇠의 끊어졌고, 체인 계약은 동전에 모자가 없었습니다。

Resolv의 USR 주조 공정은 체인 기반 서비스에 의존합니다. 사용자는 요청을 제출하고 특이한 개인 키 (SERVICE ROLE)를 보유 한 시스템으로 표시하고 궁극적으로 계약은 Foundry를 수행합니다。

계약 자체, 그러나, 단지 시그니처가 유효 여부를 검사, 수의 주조가 합리적이지 않다는 것을 확인하지 않습니다, collateral ratios, 가격 prognostics 또는 최대 주조 제한이 없습니다。

assailants는 프로젝트 's 클라우드 인프라를 통합하고 서명 개인 키를 획득하여 자신의 법적 서명을 생성 할 수 있습니다。

시그니처 권한으로, 공격자는 입력으로 USDC (대략적으로 US$ 100,000에서 US$ 200,000)의 작은 수를 사용했고, 매개 변수를 수정하고 담보없이 약 8 백만 USR을 직접 주조합니다。

따라서, 이러한 UNCOLLATERALIZED USRS는 다른 안정적인 통화로 빠르게 변환되고 결국 ETH로, 그리고 자금을 점차적으로 전송되었지만, 많은 양의 추가 공급이 USR 가격의 급속한 고장으로 이끌었습니다。

4. 프로젝트 이름: 사가 (총액: 약 $7백만, 1월 2026)

도둑질을 위한 이유:

이 공격의 핵심은 EVM precompile 교량의 결함 검증 논리입니다。

사가EVM은 Ethermint에 기반을 둔 EVM을 사용하고 체인 브리지의 트랜잭션 검증 논리에 영향을 미치는 코드에서 발견되지 않은 루프홀이 있습니다。

특정 트랜잭션을 구성함으로써, 공격자는 수유 자산이 입금되었는지 확인하기 위해 브리지를 우회하고 “정화 된 통화 공급 제한”。

분쟁의 인증의 경우, 시스템은 합법적 인 크로스 체인 운영으로 이러한 위조 정보를 취급하고 공정에 따라 안정적인 통화의 해당 금액을 주장합니다. 실제 담보 지원의 부재에서 공격자는 비용없이 안정적인 통화의 큰 금액을 위조하고 계약의 실제 자산으로 변환 할 수 있습니다。

결국, 합의 된 자금은 일관적으로 인출 된, 안정적인 통화는 끊어지고 약 $ 7 자산의 백만이 이전되었다。

5. 프로젝트 이름: Solv (stolen 총계: 대략 $2.5 백만, 3월 2026)

도둑질을 위한 이유:

공격의 심장은 BRO Vault 계약에서 이중 코인 갭 (리더러한)이었다。

특히 ERC-3525 자산을 수용 할 때, ERC-3525는 ERC-721에 기반하고 보안 전송 과정에서 onERC 721 수신 전송을 트리거합니다。

이 과정에서, 계약은 메인 프로세스에서 주조 동전을 수행, 그리고 다시 다시 다시 기능에서 그것은 다른 주조 동전 작업을 트리거。

리콜은 첫 번째 seigniorage가 완전히 완료되지 않았기 전에 일어났기 때문에, assailant는 전형적인 재입력 경로를 형성하는 단일 예금 가동에서 두 번 동전을 트리거 할 수 있습니다. 반복적 인 사용으로, 공격자는 BRO의 큰 볼륨으로 자산의 작은 양을 증폭, SolvBTC로 변환하고 그들을 이전。

6. 프로젝트의 이름 : Aave (간접적으로 영향을받는, 나쁜 채무 위험 약 $ 177 만 ~ $ 236 만, 4 월 2026)

도둑질을 위한 이유:

이 이벤트의 즉각적인 루프홀은 Aave가 아니라 Kelp DAO의 교차 링크 인증 메커니즘이 실패했습니다。

공격자는 레이어영에 기반한 인터체인 브리지에 거짓 메시지를 보냈습니다. 이는 실제로 ETH에 배치하지 않고 약 116,500 rsETH의 잘못된 릴리스와 캐스팅을 주도했습니다. 이 rsETH는 실제 자산에 의해 지원되지 않으며 시스템에 있는 정상적인 collateral로 사용됩니다。

따라서, 공격자는 측면으로 Aave에 이러한 비례없는 rsETH를 입금하고 많은 수의 부동산 (WETH)을 빌려. Aave ' s 매개 변수 설정은 대규모 모기지 및 대출을 허용하므로 공격자는 짧은 시간 내에 대출 및 송금 자금을 완료합니다。

마지막 결과는:공격자는 큰 규모의 나쁜 채무를 만들기 위해 "방사 자산 및 대출 실제 자산을 위조"에 의해 Aave에 위험을 전송。

7. 프로젝트 이름: 수확량: 대략 $10.2 백만, 2월 2026)

도둑질을 위한 이유:

이 공격의 심장은 기계 가격이 단일 거래 (낮은 이동성 + VWAP 메커니즘)에 의해 조작 될 수있는 예측입니다。

공격 전, USTRY/USDC 거래는 약간의 유동성을 가지고 있으며 예측자의 가격 창에서 정상 거래가 없었습니다. YieldBlox에 의해 사용되는 반사체 prophecies는 단일 트랜잭션이 가격을 결정할 수 있는 VWAP (trade-weighted Price)를 기반으로 합니다。

공격자는 매우 작은 금액 (약 0.05 USTRY)에서 거래를 완료하기 위해 다른 계정을 사용하여 극단적 인 가격 (약 500 USDC / USTRY)을 걸고 약 $ 106에 대한 PROGNOSIS 가격을 성공적으로 제기했습니다。

가격이 증폭 된 후, 공격자는 체계적으로 높은 가치 담보로 처리 된 USTRY, 따라서 실제 값의 위 대출을 얻는다. 따라서, 공격자는 직접 LENT 모든 자산 (XLM 및 USDC) 풀에서 자금의 인출을 완료합니다。

8. 프로젝트의 이름 : 단계 금융 (자본 금액 : 약 $ 30 백만에서 $ 40 백만, 1 월 2026)

도둑질을 위한 이유:

공격의 심장은 프로젝트의 핵심 구성원의 장비의 고장이었다, 개인 키 또는 서명 프로세스의 손실에 결과。

공격자는 해킹 팀의 임원 장비를 통해 프로젝트 's 지갑에 액세스했습니다. 이러한 방문은 개인 키 또는 간섭에 대한 직접 액세스가 포함될 수 있습니다. 트랜잭션 서명 프로세스를 통해 관리자가 지식 없이 악의적인 거래를 승인할 수 있도록 합니다。

통제의 취득에 따라, 공격자는 프로젝트에 의해 통제되는 다수 Solana 지갑을 운영했습니다, 불분명 자산과 옮기는 기금을 풀어 놓기를 포함하여. 전체 프로세스는 스마트 컨트랙트의 갭을 해결하지 않았지만 직접 자금의 전송을 완료하기 위해 인수 된 지갑 권한을 사용했습니다。

궁극적으로, 프로젝트 자금의 대규모 전송은 약 $ 30 백만의 손실을 초래하고 토큰 가격의 급격한 하락을 유발했습니다。

9. 프로젝트 이름 : Truebit (단기 금액 : 약 $ 26 백만, 1 월 2026)

도둑질을 위한 이유:

이 공격의 심장은 TRU 구매 가격 기능의 정수 간격입니다。

BuyTRU()의 가격 계산에서 여러 대의 대의 곱셈과 추가가 포함되었지만, 계약은 Solidity 0.6.10을 사용하여 컴파일되었고 기본값은 위에 유출되지 않았습니다。

공격자는 특정 큰 매개 변수를 입력 할 때, 중간 계산은 오버스펜과 값이 둥글고, 비정상적인 낮은 또는 제로 구매 가격에서 결과。

이 경우 공격자는 매우 낮은 또는 제로 비용에서 TRUS의 대량을 구입할 수 있습니다。

계약의 판매 논리 (sellTRU ())는 여전히 정상적인 규칙에 따라 계산되고, 계약의 ETH 예비는 프로 쥐라를 변환 할 수 있습니다。

공격자는 다음 반복 :

낮은/제로 가격에 TRU 구매

계약의 지속적인 인출은 약 $ 26 백만의 손실로 인해 여러 라운드의 작업을 통해 이루어집니다。

10. 프로젝트 이름: Makina (stolen 총계: 대략 $4.1 백만, 1월 2026)

도둑질을 위한 이유:

공격의 핵심은 AUM / SharePrice 계산에 대한 외부 곡선 풀 데이터에 의존하고 검증되지 않았고 플래시 돈으로 조작되었습니다。

공격자는 번개 대출을 통해 많은 양의 돈을 빌려, 일시적으로 몇 가지 곡선 풀에서 거래 된 유동성을 주사, 인공적으로 풀 및 관련 계산의 상태를 변경 (예 : LP 값, 마법사 계산 등)。

이 조작 된 데이터는 AUM (asset Management Scale) 계산 및 더 영향을받는 SharePrice에 대한 합의에 의해 직접 사용되었습니다。

외부 데이터의 효과적인 유효성 검증 또는 시간 무게의 부족으로 인해 시스템은 실제 값으로 이러한 anomalies를 치료하고 결과 :

• AUM은 크게 상승했습니다

• SharePrice는 예외적으로 증폭됩니다

SharePrice의 리프팅 후, 공격자는 DUSD / USDC 풀에서 이익을 얻기 위해 자산을 arbitrate 가격 차이를 사용했습니다。

III. 20개의 사건의 일반적인 본 및 계시

이 20 사건에서, 우리는 실제로 더 명확한 추세를 볼 수 있습니다 : 해커가 거대한 자산을 훔칠 수있는 두 가지 방법이 있습니다 : 기술 루프홀 및 사회 공학。

1. 기술적인 반복: 명확한 이동 경로는 기술적인 간격의 케이스의 시간 배급에서 보일 수 있습니다。

초기 기술 루프홀은 교량, 가장 빠르게 성장하고 가장 높은 최신 코드 및 그 단계에서 가장 약한 감사 인프라에 집중되었습니다. 대량의 자산을 운반하지만 충분한 양의 원정적 인 테스트를 경험하지 않았습니다。

업계는 크로스 체인 브리지 보안에 초점을 맞추기 시작했습니다. 인증 메커니즘은 일반적으로 교량의 대규모 기술 격차가 크게 감소했습니다. 그러나 루프홀은 사라지지 않았다, 그것은 단지 다른 장소에서 일어났다 -- DeFi 계약 내에서 수학 논리, prognosis 기계의 디자인, 및 제 3 자 은행에 의존。

• Cetus : 수학 라이브러리의 경계는 잘못되어 있습니다

• Truebit: 컴파일러의 오래된 버전에서 정수 유출

• YieldBlox: prophecies를 위한 낮은 액체 시장에 있는 너무 많은 신뢰。

이 뒤에 한 본질이 있습니다: 공격의 얼굴은 항상 자산을 따르고, 코드의 오래된 새로운 차원을 따르고, 감사의 장님 지역을 따릅니다. 특정 유형의 인프라가 타겟팅되고, 업계는 초점을 맞추고, 방어는 강화되고, 공격자는 다음 가장 빠르게 성장하고 약한 방어로 이동합니다。

사회 작품 : 이 20의 경우, 4는 고려 국가 해커 조직 Ronin, WazirX, Bybit, Drift, 총 손실이 $ 2.5 억 이상으로 확인되었거나 매우 특성화되었습니다。

Chainalysis에 따르면, 관련 해커의 북한 협회는 2025 년 만에 암호화 자산에서 $ 2 억 달러를 훔쳤다. 그 해에 총 글로벌 암호화의 약 60 퍼센트를 차지합니다. 2024에 비해, 한국민공화국의 해커 공격의 수는 74 퍼센트 감소, 그러나 공격 당 평균 금액은 크게 상승。

북한 해커도 계속 에스컬레이트, Ronin 기간 동안 내부 시스템의 직접 침입, Bybit에서 체인 공격을 공급, 드리프트의 6 개월 라인에 침투, 각 시간 기존 라인 밖에 새로운 접근을 발견。

한국 해커가 글로벌 암호화 산업 언서버 직원들이 대상 회사를 입력 한 경우, 내부 시스템의 구조를 지도하고, 코드 저장소에 액세스하고, 생산 코드의 뒷문으로 조용히 삽입합니다。

훔친 효과의 범위는 넓습니다. 초기 침입, 영향은 계약 자체에 크게 제한되지만, DeFi가 더 많은 혼잡이가되고, 단일 지점 충격은 외부로 전송되기 시작합니다。

:: 드리프트: 드리프트 이후, 적어도 20개의 계약은 이동성 또는 전략에 의존하고, 중단되거나 직접 손실되고, 잉카트 의정서의 TVLs의 50 퍼센트가 영향을 받았다。

• Aave: Aave의 계약 자체는 완전하게 unproblematic이고, 단순히 Kelp DAO의 rsETH를 담고, 외부 교량의 실패는 직접 Aave의 나쁜 부채 위험을 전달합니다。

이 패턴은 궁극적으로 현실에 점: 계약에 자산을 입금, 뿐만 아니라 계약의 코드를 신뢰. 동시에 각 외부 자산의 심사 및 운영 보안을 신뢰합니다. 즉, 모든 타사 서비스 및 관리자 권한이 있는 사람들。

최근 몇 년 동안, 다른 후, Polymarket는 이번 달에 라인에왔다 : "나는 100 M 이상 도난 된 통화 링 프로젝트가 있습니까?"그리고 한 달 전에 시장에 종료. DeFi의 자산이 크기로 성장하는 사고는 없습니다. 계약 간의 신뢰는 심화되지만 돈이 계속 유지되지 않는 능력이 없습니다。

보안의 압력은 여전히 느슨하지 않지만 위협의 크기는 증가합니다。2000 년 4 월, Anthropic에 의해 발표 된 Claude Mythos Preview는 각 주류 운영 체제 및 브라우저의 수천을 발견하고 사용 가능한 공격 경로로 알려진 구멍의 72 퍼센트를 변환 할 수있었습니다。

이 기능, 일단 체계적으로 검사된 똑똑한 계약은, DeFi 기업에 있는 반복은 unprecedented 비율에서 발견되고 악용될 것입니다. 동시에, 프로젝트 파티는 자체 검사를 수행하기 위해이 도구를 적극적으로 사용할 수 있으며, 사전에 잠재적 위험을 확인하고 자신의 안전 보호 기능을 향상시킵니다。

일반 사용자의 경우,이 경우 몇 가지 즉각적인 통찰력을 제공 할 수 있습니다 :

1. 명세.단일 계약에 집중하지 마십시오。분산 된 저장, 완전히 위험을 제거하지 않고 단일 손실의 상한 제한을 제어 할 수 있습니다。

2. 명세.새로운 합의에서 거리를 유지하십시오。대부분의 기술 구멍은 계약이 온라인으로 갔다 후 일찍 발견되었습니다. 2 년 동안 가동중인 계약은 감사 및 실제 스트레스 테스트의 여러 라운드를 겪고 있으며, 즉시 온라인으로 높은 수익을 제공하는 계약보다 훨씬 안전합니다。

3. 명세.계약이 정말 수익성이 있는지 여부。수익 창출 계약이 발견 될 때 손실이 발생했을 때 지불 할 수있는 실제 능력. 토큰 인센티브와 운영되는 계약은 실제 소득이 없으며 사건의 경우 보상 프로그램은 종종 새로운 동전 또는 도면으로 제한됩니다。

진정한 성숙한 금융 인프라는 성장 목표 뒤에 영원히 보안을 유지하지 않습니다. 도난 뉴스는 그날까지 멈추지 않을 것입니다。

원본 링크