교환소들이 악의적인 주소에서 보유한 테더 USDT(USDT)를 동결하겠다고 말하는 것과 실제로 동결하는 것 사이에 "상당한 지연"이 있다고 AMLBot의 새 보고서가 밝혔습니다.
AMLBot의 보고서에 따르면 테더의 USDT 스테이블코인의 온체인 동결 집행이 더딘 상황입니다. 그 결과, 이 자금세탁 방지 기업은 2017년 이후 이더리움(ETH)과 트론(TRON)에서 최소 7,800만 달러가 악의적인 행위자들에게 손실되었다고 말했습니다.
AMLBot은 보고서에서 이 "자금세탁 허점"이 테더의 다중 서명 계약 설정의 결과라고 설명했습니다.
먼저, 동결 요청이 온체인으로 전송되며, 동결이 실행되기 전에 여러 서명을 승인해야 합니다. 그 결과, 불법 행위자들이 주소가 동결되기 전에 자금을 이동할 수 있는 "기회의 창"이 생깁니다.
보고서에 제시된 한 예시는 트론에서 동결 요청과 확인 사이에 44분의 지연을 보여줍니다.
AMLBot은 2017년 이후 이 취약점으로 인해 트론(TRON) 네트워크에서 악의적인 행위자들이 4,960만 달러를 인출했다고 주장합니다. 지갑들은 지연 시간 동안 최대 3번의 거래를 할 수 있었으며, 블랙리스트에 올라간 지갑의 4.88%가 네트워크의 지연을 악용했습니다.
한편 이더리움(ETH)에서는 같은 기간 동안 2,850만 달러의 테더 USDT(USDT)가 인출된 것으로 나타났습니다. 두 체인을 합쳐 총 7,810만 달러입니다.
보안 기업 PeckShield는 보고서를 검토하고 이 허점이 존재함을 확인했습니다.
"이는 반드시 계약 자체의 문제를 나타내는 것은 아닙니다. 오히려 블랙리스트 거래가 제출되고 실행되는 사이의 시간 창을 만드는 운영상의 문제입니다," PeckShield의 관계자는 디크립트(Decrypt)에 말했습니다. "문제의 보안에 민감한 특성을 고려할 때, 개선이 분명히 필요합니다."
테더는 미국 달러에 가치를 고정하려는 암호화폐 시장 최대 스테이블코인 테더 USDT(USDT)의 발행사입니다. 이 회사는 올해 초 14억 달러 규모의 바이비트(Bybit) 해킹과 연결된 지갑 등 불법 활동과 연관된 주소를 자사 상품 거래에서 블랙리스트에 올립니다.
블랙리스트에 올랐다는 것은 해당 주소가 더 이상 테더가 발행한 자산을 이동할 수 없음을 의미하며, 사실상 토큰을 무가치하게 만듭니다.
그러나 AMLBot은 악의적인 행위자들이 앞서 언급한 지연을 알고 있으며 이를 악용하기 위한 도구를 만들고 있다고 믿고 있습니다.
AMLBot의 CEO 슬라바 데므추크는 디크립트(Decrypt)에 "도구들은 동결 요청과 연결된 submitTransaction() 호출과 같은 특정 계약 상호작용을 모니터링하도록 프로그래밍될 수 있습니다"라고 말했습니다. "봇들은 동결이 집행되기 전에 동결이 시작되는 순간 지갑 소유자에게 경고할 수 있습니다. 테더의 다중 서명 프로세스로 인한 지연을 고려하면, 이는 불법 행위자들이 빠르게 자금을 이동할 수 있는 좁지만 중요한 창을 제공합니다."
"우리가 봇 자체를 직접 관찰하지는 않았지만, 온체인 행동은 이러한 자동화가 작동 중임을 강력히 시사합니다"라고 그는 덧붙였습니다.
PeckShield는 이 지연이 다중 서명 계정의 설계 방식에 내재되어 있다고 경고했습니다. 간단히 말해, 보안을 높이기 위해 필요한 경우에도 여러 사람이 거래에 서명하는 데는 시간이 걸립니다. 이 기업은 테더가 동결 요청과 서명을 하나의 거래로 묶어 이 창을 제거할 수 있다고 제안했습니다.
테더는 발행 시간에 맞춰 디크립트(Decrypt)의 논평 요청에 응답하지 않았으며, 응답을 받는 즉시 이 기사를 업데이트할 예정입니다.
