Radiant Capital 해킹: 해커들이 PDF를 사용하여 5천만 달러를 훔친 방법

$5천만 해킹 사건이 디파이 산업에 던지는 엄중한 경고

Layerzero에 구축된 탈중앙화된 크로스체인 대출 프로토콜인 Radiant Capital에 대한 최근 공격의 복잡성과 정확성은 보안이 철저한 디파이 프로젝트에서도 취약성을 드러냈습니다.

10월 16일, Radiant Capital은 약 5천만 달러 상당의 도난을 당했으며, 보안 전문가와 @bantg와 같은 저명한 개발자들이 공격의 정교함에 대해 우려를 표명했습니다. @bantg는 “이 정도 수준의 공격은 정말 무섭다. 내가 아는 한, 손상된 서명자는 최선의 방침을 따랐다”고 언급했습니다.

Radiant Capital의 최근 사고 보고서와 OneKeyHQ의 X 스레드는 해킹의 단계별 과정을 보여주며 이러한 해킹이 북한 해커와 강력히 연결되어 있다고 보고했습니다.

공격은 9월 11일, Radiant Capital 개발자가 믿을 만한 이전 계약자를 사칭한 사람으로부터 텔레그램 메시지를 받으면서 시작되었습니다. 메시지에 따르면, 계약자는 스마트 계약 감사에서 새로운 직업 기회를 찾고 있었으며, 그의 작업에 관한 평가를 요청하고 다음 과제에 대한 PDF 파일 링크를 제공했습니다. 해커는 또한 신뢰성을 높이기 위해 계약자의 합법적인 웹사이트를 모방했습니다.

zip 파일에는 INLETDRIFT라는 이름의 위장된 실행 파일이 포함되어 있었습니다. 이를 열면 개발자의 macOS 장치에 악성 소프트웨어가 설치되어 해커들이 개발자 시스템에 접근할 수 있도록 했습니다. 이 악성 소프트웨어는 해커가 제어하는 서버와 통신하도록 설계되었습니다.

안타깝게도 손상된 파일이 피드백을 위해 다른 팀원들과 공유되어 악성 소프트웨어가 더 퍼졌습니다. 공격자들은 이 접근을 이용하여 중간자(Man-in-the-Middle, MITM) 공격을 실행했습니다. Radiant 팀은 Gnosis Safe 멀티시그 지갑을 보안에 사용했으나, 악성 소프트웨어가 거래 데이터를 가로채고 조작하였습니다. 개발자 화면에는 거래가 합법적으로 보였으나 해커들은 대출 풀 계약 소유권을 목표로 한 악의적인 명령으로 변경했습니다.

Ledger 지갑의 맹목적인 서명 취약점을 악용하여 공격자들은 개발자들이 transfer ownership() 호출을 승인하도록 설득했고, 이는 Radiant의 자금 통제권을 제공했습니다. 3분도 채 되지 않아 해커들은 자금을 빼돌리고, 백도어를 제거하며 활동의 흔적을 지워 수사관들에게 최소한의 증거만 남겼습니다.

이 공격은 DMM 비트코인 침해와 같은 사이버 위협의 증가하는 정교함을 강조해 주었으며, 이는 일본 암호화폐 거래소의 운영 중단으로 이어진 핵심 교훈을 제공합니다. 이러한 교훈 중 하나는 팀이 악성 소프트웨어 위험을 줄이기 위해 온라인 협업 도구로 전환해야 한다는 것입니다. 특히 외부 소스로부터 검증되지 않은 파일을 다운로드하는 것은 완전히 피해야 합니다.

프런트엔드 거래 검증은 필수적이지만 스푸핑에 취약합니다. 프로젝트는 변조를 감지하기 위해 고급 검증 도구와 공급망 모니터링을 고려해야 합니다. 또한, 하드웨어 지갑은 자세한 거래 요약이 부족하여 위험을 증가시킵니다. 다중 서명 거래에 대한 향상된 지원은 이 문제를 완화할 수 있습니다.

자산 관리 강화를 위한 시간 잠금과 거버넌스 프레임워크는 또한 중요한 자금 이전을 지연시켜 팀이 자산 손실 전에 이상 현상을 식별하고 대응할 수 있도록 기여할 수 있습니다.

Radiant Capital 해킹 사건은 최선의 방침을 따르는 프로젝트에서도 지속되는 취약성을 엄중하게 경고하는 사례입니다. 디파이 생태계가 성장함에 따라 공격자의 재주도 함께 증가하고 있습니다. 업계 전반의 경계와 강력한 보안 프로토콜, 그리고 견고한 자산 관리는 향후 이와 같은 사건을 예방하기 위해 필수적입니다.

Radiant DAO는 Mandiant의 조사 지원을 지속하며 Zeroshadow 및 미국 법 집행 기관과의 협력을 통해 도난된 자산을 동결하기 위해 노력하고 있습니다. Radiant는 또한 배운 교훈을 공유하여 전체 산업의 보안 기준을 높이는 데 기여하겠다는 의사를 표명했습니다.