리엔 파이낸스(Lien Finance)는 채권 토큰 교환 로직의 취약점으로 인해 약 542,000 USDC를 손실했습니다. 공격자는 이 결함을 악용하여 담보가 없는 자산을 생성하고 프로토콜의 유동성을 고갈시켰습니다. 보안 연구원들은 이 취약점으로 인해 채권 토큰을 파괴하지 않고도 새로운 토큰을 발행하고 실제 유동성과 교환할 수 있었다고 밝혔습니다.
공격에 대한 기술적 세부 정보
블록체인 보안 업체 슬로우미스트(SlowMist)는 이번 공격이 리엔 파이낸스(Lien Finance)의 채권 교환 메커니즘을 표적으로 삼았다고 발표했습니다. 공격자는 BondMakerCollateralizedEth 컨트랙트의 exchangeEquivalentBonds 함수를 이용하여 입력된 채권을 파괴하지 않고 채권 토큰을 생성한 후 이를 USDC로 교환했습니다. 이로 인해 약 542,144.63 USDC가 인출되었습니다. 슬로우미스트는 이번 공격이 채권 그룹이 교환 과정에서 충분히 검증되지 않았기 때문에 발생했다고 밝혔습니다. 공격자가 사용한 지갑 주소는 0x0d7d…1808a로 확인되었습니다.
프로토콜의 약점과 그 결과
DefimonAlerts의 온체인 분석 결과, 이번 공격은 허가 없이 이루어지는 채권 등록 및 가격 책정 취약점 때문에 발생한 것으로 밝혀졌습니다. 공격자는 BondMakerCollateralizedEth 컨트랙트를 통해 새로운 채권 배치를 등록하여 악의적인 결제 기능을 포함하는 채권을 생성했습니다. 이 채권들은 Lien Finance의 OTC 풀로 전송되어 실제 USDC 유동성으로 대체되었습니다. 이번 공격으로 Lien Finance의 GeneralizedDotc 컨트랙트를 포함한 여러 컨트랙트가 영향을 받았습니다.
이번 사건은 최근 증가하고 있는 DeFi 프로토콜 보안 침해 사례에 또 다른 취약점을 추가했습니다. 지난 7월에도 다른 프로토콜들이 유사한 공격을 받아 수백만 달러의 손실이 발생했습니다. 리엔 파이낸스는 이번 공격 이후 상세한 기술 보고서를 아직 공개하지 않았습니다. 연구원들은 이러한 공격이 프로토콜의 가격 책정 및 검증 로직의 취약점에서 비롯된다고 지적합니다.
