Predict.fun에서의 대규모 자금 유출 사건
예측 시장 플랫폼 Predict.fun과 연결된 최소 19개의 지갑에서 약 105 ETH, 즉 $260,000가 유출된 것으로 보고되었습니다. 조사자들은 의심되는 도난 자금을 Ethereum을 통해 암호화폐 믹서인 Tornado Cash로 추적하고 있습니다.
“탐정이 맞는 것 같습니다. 여러 계정이 유출되고 있습니다. 자금은 Ethereum으로 브리징된 후 Tornado Cash로 전달되고 있습니다. 총 105 ETH(~$260K)를 유출당한 19명의 피해자를 확인했습니다.” – Naeven
Naeven에 따르면, 확인된 피해자들은 총 105 ETH를 잃었지만, 조사관은 실제로 영향을 받은 지갑의 수가 더 많을 수 있다고 믿고 있습니다. 조사 결과, 여러 주소에서 자금이 네트워크를 통해 전송된 후 Tornado Cash에 도달하는 것으로 나타났습니다. Tornado Cash는 디지털 자산의 거래 기록을 숨기기 위해 일반적으로 사용되는 암호화폐 믹싱 서비스입니다.
Naeven은 여러 피해자 지갑이 중간 주소와 연결되어 있으며, 자금이 결국 유출자로 확인된 지갑으로 수렴되는 거래 흐름 다이어그램을 공유했습니다. 조사관은 여전히 Predict.fun에 자금이 있는 사용자에게 자산을 플랫폼에서 이동할 것을 촉구했습니다.
사용자들의 우려와 추가 조사
의심되는 사건은 X 사용자 dethective가 지난 한 시간 내에 약 $5,000가 자신의 지갑에서 도난당했다고 공개한 후 처음으로 주목을 받았습니다. 게시물에서 사용자는 Predict.fun에 문제가 있다고 제안하며, 다른 영향을 받은 지갑이 예측 시장 플랫폼과 연결되어 있는 것처럼 보인다고 주장했습니다.
“Predict.fun에 뭔가 잘못된 것이 있다고 생각하며, 저만 피해자가 아닙니다.” – dethective
게시물에는 도난당한 자금을 수령한 지갑 주소 0x8b001D7378DBc19C1c62E39c0fC9FFAD84182fBa가 포함되어 있었습니다. 동반된 거래 스크린샷은 Kernel이라는 주소에서 약 4,845 USDT의 송금이 이루어진 것을 보여주었으며, 이전 거래는 Predict.fun 계약과 관련이 있었습니다.
그 직후, Naeven은 문제의 범위가 초기 불만을 넘어선다는 별도의 분석을 발표했습니다. 조사관의 거래 맵은 동일한 활동의 영향을 받은 여러 지갑을 식별했으며, 자금이 Ethereum에 도달하기 전에 다양한 주소를 통해 전송되었습니다.
자금 이동과 믹싱 서비스의 역할
조사 결과는 여러 사용자가 표적이 되었음을 시사하지만, 자금에 접근하는 데 사용된 정확한 방법은 알려져 있지 않습니다. Naeven의 발견에 따르면, 의심되는 공격자는 영향을 받은 주소에서 자산을 수집하기 위해 여러 중간 지갑을 사용한 것으로 보이며, 이후 자금은 Tornado Cash로 전달되었습니다. 거래 믹싱은 자금의 이동을 추적하기 더 어렵게 만들 수 있습니다.
거래 다이어그램은 여러 피해자 지갑 그룹이 자산을 수집 주소로 보내는 모습을 보여주었으며, 이후 다른 지갑을 통해 자금을 라우팅했습니다. 일부 송금은 BNB 체인에서 Ethereum으로의 이동으로 표시되었으며, 다른 송금은 직접 Ethereum 거래를 포함했습니다.
Predict.fun은 BNB Smart Chain에서 운영되며, 참가자들이 미래 사건의 결과에 따라 포지션을 거래하는 예측 시장에서 USDT를 담보로 사용합니다. 이 플랫폼은 포지션 및 정산을 관리하기 위해 조건부 토큰 계약을 사용하며, 시장이 해결될 때 환급 거래를 포함합니다.
Naeven이 확인한 19개의 주소 외에 영향을 받은 사용자 수에 대한 확인된 수치는 없었습니다. Tornado Cash로의 자금 이동 보고는 최근 공격자들이 믹싱 프로토콜을 통해 도난당한 암호화폐를 전송한 여러 사건에 이어 발생했습니다.
최근 해킹 사건과의 연관성
이달 초, crypto.news는 Drift Protocol 해킹과 관련된 지갑이 2일 동안 약 $109 million의 Ether를 Tornado Cash로 전송했다고 보도했습니다. 이 거래는 약 44,510 ETH를 포함했으며, 공격자와 연결된 지갑은 또 다른 56,569 ETH를 보유하고 있는 것으로 보고되었습니다.
10월의 별도 사건에서 블록체인 보안 회사 Salus는 Triple-A 재무부 해킹에서 약 $12.4 million의 암호화폐가 Tornado Cash로 추적되었다고 밝혔습니다. 조사관은 4,970 ETH와 관련된 56개의 입금을 식별했으며, 여기에는 100 ETH의 49회 송금과 10 ETH의 7회 송금이 포함되었습니다.
악의적인 지갑 승인과 관련된 또 다른 사건은 10월 5일에 보고되었으며, 보안 회사 Salus는 무단 USDG 인출을 공격자에게 무제한 지출 권한을 부여하는 허가 서명과 연결했습니다. Salus에 따르면, 범죄자들은 권한을 얻은 직후 자금을 이동하기 위해 이러한 권한을 사용했으며, 승인 및 인출을 단일 거래 내에서 완료했습니다.
이 회사는 도난당한 자산이 두 개의 공격자 제어 주소 간에 80%와 20%로 분할되었으며, 이는 일부 유출 작업에서 사용되는 분배 구조와 유사하다고 밝혔습니다. Predict.fun 사건에서 조사관들은 악의적인 토큰 승인이 보고된 손실에 역할을 했는지, 또는 영향을 받은 지갑이 공통의 손상된 계약과 상호작용했는지 여부를 확립하지 못했습니다.
