앞서 다룬 바와 같이, 2022년은 가상자산 해킹 역사상 가장 큰 피해를 기록한 해였으며였으며, 38억 달러 이상이 탈취되었습니다. 하지만 이러한 공격이 모두 전통적인 의미에서 흔히 생각하는 ‘해킹’은 아니었습니다. 어떤 경우에는 악의적인 행위자들이 프로토콜 코드의 오류를 실제로 악용하지 않고도 DeFi 프로토콜에서 자금을 빼낼 수 있었습니다. 이 공격자들은 가격 오라클가상자산 를 조작함으로써 이를 해냈습니다. 따라서 우리는 이러한 독특한 사례를 오라클 조작 공격이라고 부르겠습니다.
가격 오라클 조작 공격에 대한 설명
악의적인 행위자들은 대개 대량의 가상자산 를 활용해 표적 DeFi 프로토콜에서 유동성이 낮은 토큰의 거래량을 급격히 늘리는 방식으로 오라클 조작 공격을 수행하며, 이로 인해 전반적인 시장 상황을 반영하지 않는 급격하고 상당한 시세 상승이 발생할 수 있습니다. 이러한 초기 자금은 대개 플래시 대출 을 통해 조달됩니다. 자산 가격이 인위적으로 상승하면, 공격자는 인위적으로 부풀려진 보유 자산을 유동성이 더 높고 가치가 안정적인 다른 토큰으로 교환하거나, 이를 (가치 없는) 담보로 사용하여 자산을 차입한 뒤 결코 상환하지 않을 수 있습니다.
전반적으로, 2022년에 DeFi 프로토콜들이 41건의 별개의 오라클 조작 공격으로 인해 총 4억 320만 달러의 손실을 입은 것으로 추정됩니다.
일부 공격자들은 오라클 조작 공격이 단순한 해킹과 같은 방식으로 범죄에 해당하지 않는다고 주장해 왔습니다. 실제로, 올해 발생한 최대 규모의 오라클 조작 공격 중 하나를 주도한 아브라함 아이젠버그는 자신의 행동이 완전히 합법적이며, 그저 “수익성 있는 거래 전략에 불과하다고 주장했다. 그러나 SEC 와 CFTC 는 모두 그를 상대로 시장 조작 혐의를 제기했으며, 미국 법무부(DOJ)도 기소장을 제출했다했다. 아직 재판은 열리지 않았지만, 고소장을 통해 당국이 표적이 된 프로토콜이 기술적으로 설계된 대로 작동했다 하더라도 당국이 이 공격자들이 책임을 회피하는 것을 용납하지 않을 것임을 시사하고 있습니다. 아래에서는 오라클 조작 공격이 어떻게 이루어질 수 있는지를 보여주는 사례로, 아이젠버그가 망고 마켓(Mango Markets)을 대상으로 벌인 악명 높은 ‘백만 공격’을 살펴보겠습니다.
아브라함 아이젠버그의 ‘망고 마켓’ 해킹 사건 분석
작년 발생한 가장 큰 오라클 조작 공격 중 하나는 2022년 10월 솔라나(Solana) 블록체인 기반의 탈중앙화 거래소(DEX)인 망고 마켓(Mango Markets)을 대상으로 한 공격으로, 이 공격으로 인해 프로토콜에서 1억 1,700만 달러 상당의 이더리움( 가상자산 ) 자산이 유출되었습니다. 망고 마켓 해킹 사건은 가해자인 아브라함 아이젠버그(Avraham Eisenberg)가 사건 이후 공개적으로 신원을 밝히고 자신의 행동이 범죄에 해당하지 않는다고 주장했다는 점에서 특히 주목할 만했습니다. 온체인 관점에서 볼 때, 이 해킹은 다음과 같은 경위로 발생했습니다:
- 아이젠버그는 Mango Markets의 두 개의 별도 계좌에 분산된 1,000만 USDC로 시작했습니다(다른 거래소의 자산 가격을 조작하기 위해 온체인상으로는 본인에게 귀속되지 않는 자금을 사용했을 가능성도 있습니다).
- 아이젠버그는 한 계좌를 이용해 4억 8,800만 MNGO(MNGO, 일명 Mango는 Mango Markets의 거버넌스 토큰)를 공매도했으며(실질적으로 레버리지를 활용해 4억 8,800만 MNGO를 매도한 셈), 다른 계좌는 해당 거래의 반대 포지션을 취해 레버리지를 활용해 동일한 수량을 매수했다.
- 아이젠버그가 MNGO를 레버리지를 활용해 매입한 데다 다른 탈중앙화 거래소(DEX)에서도 MNGO를 추가로 매수함에 따라, 현물 거래소에서 MNGO 가격이 매우 빠르게 상승했다. 이는 MNGO가 거래량이 많지 않은 유동성이 낮은 자산이었기 때문에 가능했다. 아이젠버그의 모든 매수 활동이 해당 자산의 가격을 크게 끌어올렸기 때문에, MNGO를 매입한 계좌는 즉시 약 4억 달러의 평가익을 실현했다.
- 이처럼 높은 포트폴리오 가치를 바탕으로, 아이젠버그는 인위적으로 부풀려진 MNGO 보유분을 담보로 자금을 차입하여 망고 마켓이 보유한 자산을 사실상 모두 빼내갈 수 있었다. 이러한 행위로 인해 MNGO 가격은 즉시 하락했고, 결과적으로 담보 가치의 손실로 인해 그의 롱 포지션은 청산되었지만, 이미 때는 늦은 후였다. 아이젠버그는 이미 실질적인 가치를 지닌 망고 마켓의 자산을 모두 “차입”해 버린 뒤였기 때문이다.
아래 ‘체이널리시스 ’ 스토리라인에서 이 활동을 확인할 수 있습니다:
설상가상으로, 아이젠버그는 이 취약점 공격 이후에도 여전히 보유하고 있던 MNGO를 이용해, 오라클 공격으로 탈취한 1,000만 달러 상당의 가상자산 를 반환하고 나머지는 “버그 바운티”로 챙길 수 있도록 허용하는 거버넌스 안건을 발의하고 투표에 참여했다. 이 제안은 결국 통과되었다. 대부분의 해커들은 대중의 주목을 피하지만, 아이젠버그는 망고 마켓(Mango Markets) 해킹 사건에서 자신의 역할을 공개적으로 인정했으며, 코드가 기술적으로 항상 설계된 대로 작동했기 때문에 자신이 아무 잘못도 하지 않았다고 확신하는 듯했다. 그는 심지어 로라 신(Laura Shin)의 인기 있는 팟캐스트에 출연하기도 했다. 로라 신(Laura Shin)의 인기 있는 ‘언체인드 팟캐스트’ 에 출연해 이러한 관점을 설명하기도 했다.
그러나 SEC가 고소장에서 명시한 바와 같이 소장에서 명시한 바와 같이, 아이젠버그가 주도한 MNGO 거래량 허위 증가(공격 당일 거래량이 지난 10일간의 평균 가격 대비 2,000%나 증가한 것으로 나타남)로 인해 그의 행위는 시장 조작에 해당한다고 주장된다. 기소가 제기된 이후, 망고 마켓츠(Mango Markets)도 아이젠버그를 상대로 소송을 제기했으며 그가 훔친 금액과 거버넌스 제안의 결과로 반환한 금액의 차액을 청구하는 소송을 제기했으며, 아이젠버그가 망고 마켓스 DAO와 버그 바운티를 협상할 당시 “합법적인 교섭”을 진행하지 않았다고 주장하고 있다.
본 자료는 정보 제공만을 목적으로 하며, 법률, 세무, 금융 또는 투자 자문을 제공하기 위한 것이 아닙니다. 수신자는 이러한 유형의 결정을 내리기 전에 본인의 자문가와 상담해야 합니다. 체이널리시스 는 수신자가 본 자료를 이용함에 따라 내린 어떠한 결정이나 기타 행위 또는 부작위에 대해서도 어떠한 책임도 지지 않습니다.
체이널리시스 본 보고서에 포함된 정보의 정확성, 완전성, 시의성, 적합성 또는 유효성을 보장하거나 보증하지 않으며, 해당 자료의 어느 부분에서든 발생하는 오류, 누락 또는 기타 부정확성으로 인해 제기되는 어떠한 청구에 대해서도 책임을 지지 않습니다.
