앱스트랙트 어제밤 Cardex 보안 취약점 요약

원문 트윗
Cygaar의 사후 리포트

어제밤 Cardex의 보안 취약점으로 인해 Cardex 앱을 승인한 사용자들의 AGW (앱스트랙트 월렛)으로부터 약 400,000불이 탈취. AGW 혹은 앱스트랙트 보안의 문제가 아닌 특정 앱으로부터 발생한 취약점

해킹 원인
Cardex 웹사이트 프론트앤드에 프라이빗키가 노출되어 있었고, 공격자는 이를 이용하여 Cardex 컨트랙트를 승인한 지갑들로부터 자금을 탈취

유저가 해야할 일
Cardex 컨트랙트가 업그레이드 됐으며 지금은 문제가 해결되어 유저가 할일은 없음. 다만 잠재적인 위험으로부터 보호하기 위해선 주기적으로 http://revoke.abs.xyz 를 통해 앱 승인들을 취소하는 것을 권장

앞으로의 방향
앱스트랙트 포탈에 앱이 올라가기 위해서는 1-on-1 온보딩, 보안 검토 등을 받지만, 웹사이트 프론트앤드는 보안 스코프에서 빠져있었음. 앞으로 빌더와 유저가 어떻게 더 안전할 수 있을지 보안 전문가들과 협력하여 개선할 예정

#Abstract

이번 앱스트랙트 Cardex 취약점의 좀 더 디테일한 컨텍스트

https://x.com/0xCygaar/status/1891948692204368122

1. 앱스트랙트 글로벌 월렛 (AGW)는 세션 키 기능을 지원. 이 기능을 통해 앱의 세션키가 유저의 월렛에서 제한된 기능을 수행할 수 있음 (유저가 승인한 기능들에 한해)

2. Cardex는 카드 게임이였는데 사용자들은 카드 트레이딩과 관련된 함수(buyShares, sellShares, transferShares)를 앱 세션키에 승인해줬었음

3. 공격자가 Cardex 프론트에서 앱 세션키를 발견했고, 해당 세션키를 통해 유저들의 지갑으로부터 buyShares를 수행 (ETH 소모). 그 후 구매한 shares를 transferShares 함수를 통해 공격자 지갑으로 전송. 공격자는 shares를 판매하여 ETH를 챙김 (즉, buyshares -> transferShares -> sellShares)

4. 위 공격에서 앱이 승인받은 것은 위 3가지 함수들 뿐이며, eth로만 구매가 가능했으므로 ERC20 토큰과 NFT들은 피해를 받지 않았음

5. 우선 Cardex의 가장 큰 잘못은 앱의 세션키를 프론트앤드에 노출시킨 것이지만, 하나의 세션키로 모든 유저 앱을 관리한 것도 문제. Best Pratice는 사용자 당 하나의 세션키를 생성하는 것

6. 결과적으로 위 공격으로 약 400K 상당의 ETH가 탈취당하고 약 9천개의 지갑이 피해를 받음

사건의 구체적인 TimeLine은 이미지 참고하시면 좋을 것 같습니다. Timeline을 보면 앱스트랙트 팀의 대응이 빠르기도 했고, ChainLight팀도 사태 원인을 빠르게 파악하는데 (Cardex 프론트앤드에서 세션 키가 유출되었음을 확인) 도움을 줬습니다.

앞으로 AGW와 같은 Account Abstraction Wallet (AA wallet, smart wallet) 지갑이 많아짐에 따라 앱의 세션키 관리 부주의로 인한 공격이 더 자주 생길 수 있습니다. 각 빌더는 앱을 만들 때 반드시 보안 감사를 거쳐야하며, 사용자는 의심스러운 앱에 지갑을 연결하지 않고 큰 자산은 별도의 지갑에 관리하는 것이 필요합니다.

Bedrock Pre-TGE 캠패인 소개

유동성 리스테이킹 (liquid restaking) 프로토콜인 Bedrock이 토큰 티커로 `BR`을 공개하였으며, 현재 OKX wallet의 사전 TGE 캠패인을 통해 BR 토큰 획득이 가능

Bedrock이란? Bedrock의 경우 현재 6억달러 이상의 TVL과 20만명 이상의 활성 사용자를 보유 중인 multi-asset liquid staking 프로토콜입니다. brBTC라는 Bedrock의 BTC yield 상품이 있으며 여러 리스테이킹 프로토콜을 활용해 수익을 극대화하는 것을 목표로 합니다.

🗓 Pre-TGE 캠패인 기간: 2025년 2월 14일부터 3월 9일까지 진행
💵 총 상금 풀: 총 200,000 달러 상당의 BR 토큰

참여 방법 (아래 사이트 접속 후 퀘스트 진행)

https://www.okx.com/web3/giveaway/bedrock

🔗 온체인 작업: Bedrock에서 BTC 스테이킹
🌐 오프체인 작업: 트위터 팔로우, 리트윗 + 디스코드 접속

#Bedrock

이더리움 재단 오픈 인텐트 프레임워크 발표

- Open Intents Framework는 30개 이상의 이더리움 관련 팀들이 협력하여 개발한 모듈식 오픈 프레임워크입니다.

- 이 프레임워크는 모든 체인에서 사용자들이 쉽게 인텐트(intents)를 사용할 수 있도록 하고 크로스체인 사용자 경험을 개선하는 것을 목표로 합니다.

- 크로스체인 자산 이전을 원활하게 만들기 위한 인텐트 시스템들 간의 호환성 문제를 해결하고자 합니다.

- 현재 이더리움 생태계의 여러 L2, 월렛, 인프라 제공자들이 이 프레임워크를 지원하고 있으며, 더 많은 참여가 예상됩니다.

Open Intents Framework

📢 $KAITO 오늘 에어드랍 및 거래 시작! 우리.. 졸업 가능?🤪

AI 기반 Web3 정보 플랫폼 KAITO의 토큰 에어드랍과 거래소 상장이 큰 화제🔥

1. 주요 내용

$KAITO 토큰 출시
클레임 시작: 오늘(20일) 오후 9시(한국시간)
거래 개시: 오후 10시
체인: Base

2. 거래소 상장

OKX와 Binance에서 KAITO/USDT 현물 거래 지원 예정
추정 비율: 1 Yaps = 100 $KAITO
프리마켓 가격: 약 $1.3
예상 FDV(완전 희석 가치): 13억 달러

3. KAITO 플랫폼 특징

Web3 관련 정보 인덱싱 및 제공
정보 금융(InfoFi) 모델 구축
사용자 소셜 미디어 활동으로 Yaps 포인트 적립

4. 프로젝트 전망

현재 뚜렷한 경쟁자 부재
TGE 프로젝트 중 최다 소셜 미디어 언급
단계별 에어드랍과 프로젝트 온보딩 확대로 중장기 성장 가능성 기대

이번 KAITO 토큰 출시는 Web3 및 암호화폐 시장에 새로운 활력을 불어넣을 것으로 보임👀

추가 정보는??!👇
🔥'쟁글 뉴스레터' 구독하기 https://xangle.io/about/newsletter

#KAITO #Xangle #InfoFi

1 Yaps = 58 Kaito?

카이토 토크노믹스

초기 커뮤니티 및 생태계 청구 - 10%

이 할당에는 초기 Kaito Yapper 커뮤니티, Genesis NFT 보유자, 생태계 Yapper 및 파트너가 포함됩니다.

우리의 전반적인 접근 방식은 두 가지 핵심 원칙에 따라 이루어집니다.

참여에 대한 보상: Kaito 커뮤니티와 가장 일치하며 장기적으로 InfoFi 로드맵에 적극적으로 참여할 가능성이 가장 높은 사람들에게 $KAITO를 분배합니다.

최선을 다해 공정성 과 형평성을 보장하는 동시에 성과 중심의 시스템을 유지합니다 .

이러한 원칙에 따라, 우리는 단순히 총 YAPS를 세는 것을 넘어섰습니다. 대신, 우리는 Kaito 가치 정렬, 장기적 충성도, 생태계 참여, Kaito Connect 거버넌스 참여, 지역 및 신흥 야퍼, 온체인 평판 등을 포함한 많은 요소를 평가하기 위해 포괄적인 AI 기반 분석을 수행했습니다.

=단순 수치비례가 아님

https://claim.kaito.ai/

저 같은 경우엔 115 YAPS였는데 대략 16:1정도의 비율이네요

Kuzco, Inference.net 플랫폼으로 통합

- 기존 Kuzco 채굴 유저들은 https://inference.supply/ 에서 대시보드를 확인할 수 있음
- Inference.net은 추론 파워가 필요한 소비자, 주로 개발자가 네트워크를 소비하는 곳
- 앞으로 Kuzco 브랜딩은 Inference.net으로 전환
- 앞으로 몇달 동안 네트워크와 토큰을 출시할 준비를 수행하며 크게 성장할 것으로 기대

Currently monitoring suspicious outflows from Bybit of $1.46B+ will update as information becomes available

0x47666Fab8bd0Ac7003bce3f5C3585383F09486E2

My sources confirm it's a security incident

어제 바이빗이 역대급 해킹 규모를 갱신했지만 의외로 시장이 잘버텨주고 있네요

Ethena($ENA)의 경우 바이빗에 자금을 보관중이다라는 FUD로 인해 가격이 한동안 하락했었는데, USDe를 뒷받침하는 모든 자산은 Copper Clearloop를 통해 거래소 외부에서 보관중이라는 해명 공지를 트윗하였습니다. 또한 기존에 존재하던 바이빗에서의 미실현 손익 3000만 달러도 전부 정리하였다고 하네요

Ethena의 대시보드에서 배킹 자산 비율, USDe 발행량, Total backing 수치 등을 확인 가능합니다.

#Ethena #USDe #KOL

트래져다오 데스크탑 게임 런쳐 출시

https://app.treasure.lol/install

- Steam/에픽게임즈 런쳐와 유사하지만 크립토 게이밍을 위한 데스크탑 게임 런처
- 이메일 로그인으로 AA 월렛이 생성됨과 동시에 모든 트래져 게임에 접근이 가능
- 곧 마켓플레이스, 매직스왑 등이 게임 런처에 탑재될 예정

설치하고 잠시 살펴봤는데 앱 자체는 아주 깔끔하네요. 곧 시작하는 비콘 페이즈2에서는 트래져 데스크탑 런처를 사용한다고 합니다

#TreasureDAO #MAGIC

하락장에 어떻게 살 것인가

- 무리한 매매 안하기
- 에어드랍 작업 꾸준히 하기: 하락장에 경쟁이 적기 떄문에 가성비가 좋음. 다만 돈이 크게 들지 않는선에서 마라톤 느낌으로 수행
- 밈코 트레이딩 자제하기: 더 이상 밈코에 돈이 크게 몰리지 않음
- 신규 코인들 트래킹하기: 하락장에도 가끔 새로운 트랜드를 만드는 신규 코인이 나올때가 있음
- 소비 줄이고, 수입 늘리기: 에드작, audit 콘테스트, 크립토 커뮤니티 바운티 등 크립토에 부수입을 얻을 수 있는 기회가 많음

지금 듣기 좋은 노래

https://www.youtube.com/watch?v=4MKdJywOeZ8

CLINK 리브랜딩 기념 글림 이벤트

CLINK은 최근 홍길동에서 리브랜딩 된 앱으로, 기존에는 거래소 수수료 환급 서비스였습니다. 곧 텔레그램을 통한 모의투자 관련 게임, 인기 토큰 런치패드/런치풀 추천, Ce-defi 헷징 기능들을 출시한다고 합니다.

리브랜딩 기념으로 아래 같이 이벤트를 진행하며, 트위터/텔레그램 팔로우, 리트윗 등 간단한 작업으로 이벤트 상금을 제공한다고하네요

이벤트 기간: 2025. 2.25 ~ 2025. 3. 7
당첨자 발표: 2025.3.10
총 리워드: $3000 USDT

글림 링크

Clinck 웹사이트 / 트위터(X) / 텔레그램

#광고

???