해킹으로 카바 렌드서 약 380만 달러 탈취…KAVA 40% 가까이 하락

공격자는 휴면 상태인 스테이블코인 시장에서 예치금 가치를 부풀리고 이를 담보로 대출받아 금요일 늦게 카바 렌드에서 KAVA 약 5,520만 개를 탈취했다. 카바 렌드는 레이어1 블록체인 카바의 기본 대출 프로토콜이다. 탈취된 토큰은 공격 전 KAVA 가격인 0.068달러 기준 약 376만 달러어치였다. 카바 렌드의 공동 예치금을 보유한 모듈 계정의 잔액은 1시간 30분 남짓 만에 KAVA 5,533만 개에서 0.19개로 줄었다.

온체인 데이터에 따르면 공격자는 사전에 거의 비어 있던 카바 렌드의 BUSD 시장을 악용했다. BUSD는 바이낸스 브랜드 스테이블코인으로, 팍소스는 2023년 발행을 중단했다. 카바의 공개 소스 코드를 보면 카바 렌드는 시장의 순공급량으로 차입자 이자 지급액을 나눠 예치 이익을 계산한다. 순공급량이 0이면 코드에서 이 계산을 생략한다. 그러나 순공급량이 아주 작은 양수인 경우는 확인하지 않는다.

공격자는 금요일 오후 11시 1분(미 동부시간)에 소액의 BUSD를 빌려 시장의 순공급량을 0.00000002달러로 낮췄다. 이후 3분 동안 카바 렌드는 모든 BUSD 예치금의 기록상 가치를 약 24만3,000배 높였다. 이에 따라 프로토콜은 공격자가 앞서 예치한 BUSD를 담보로 약 12억5,000만 BUSD의 가치가 있는 것으로 평가했다. 공격자는 해당 예치금을 담보로 KAVA를 127회 빌렸다. 공격자는 별도의 계정을 이용해 대출을 하나씩 상환하고 카바 렌드의 KAVA 대출 한도를 우회했다. 공격자는 최소 일주일간 준비한 것으로 보이며, 11월 8일부터 BUSD 예치와 대출을 반복했다.

공격자는 토요일 오전 4시 59분(미 동부시간) 카바의 레이어제로 브리지를 통해 KAVA 약 4,920만 개를 BNB 체인 주소로 옮기기 시작했다. 이 가운데 대부분은 1시간 안에 매도돼 BNB 3,006.5개와 USDT 231,557개로 바뀌었다. 두 자산의 합산 가치는 약 209만 달러였다. 이후 BNB는 외부로 이동했다. KAVA 약 458만 개는 카바의 라벨이 없는 주소 5곳으로 추가 전송됐다.

카바는 공격이 시작된 지 7시간 넘게 지난 토요일 오전 6시 28분(미 동부시간)에 처음으로 사건을 공개적으로 인정했다. 카바는 카바 생태계 내 애플리케이션에서 발생한 예상치 못한 활동을 조사 중이라고 밝혔다. 약 30분 뒤에는 KAVA가 BSC로 브리지돼 매도되고 있다는 사실을 파악했다고 밝혔다. 카바는 이번 사건이 "무한 발행이 아니며" "카바 렌드 안에 국한돼 통제됐다"고 밝혔다. 카바는 공식 손실 추산치를 제시하거나 사후 분석 보고서를 공개하지 않았다.

더블록의 Kava Price 페이지에 따르면 보도 시점에 KAVA는 약 0.042달러에 거래돼 직전 24시간 동안 약 39% 하락했다. 카바는 협력 거래소들이 통상적인 예방 조치로 입출금을 중단했다고 밝혔다. 카바는 오전 9시 5분(미 동부시간) 예방 차원에서 액셀라 브리지를 중단했다고 발표했다. 그러나 탈취된 KAVA는 레이어제로를 통해 이동했다. 카바는 보고서가 준비되는 대로 완전한 사건 보고서를 공개하겠다고 약속했다.

올해 여러 대출 프로토콜 해킹 사건에서는 실제 가치가 프로토콜의 평가액보다 훨씬 낮은 담보를 기반으로 대출이 이뤄졌다. 크로노스는 대출 프로토콜 텍토닉에서 추정 손실액 7,500만 달러 규모의 해킹이 발생한 뒤 8월 네트워크를 중단했다. 헤데라의 본조 렌드는 7월 약 900만 달러 규모의 해킹을 당했다.