오라클 조작 공격이란 무엇이며 DeFi에서 어떻게 작동합니까?

DeFi의 Oracle 조작 이해

1. 탈중앙화 금융(DeFi)은 특히 대출 플랫폼, 탈중앙화 거래소 및 파생상품 프로토콜 전반에 걸쳐 자산 가격을 책정할 때 정확한 데이터가 제대로 작동하는 데 크게 의존합니다. 이 데이터는 일반적으로 실제 정보를 스마트 계약에 제공하는 제3자 서비스인 오라클에 의해 제공됩니다. 그러나 이러한 오라클이 손상되거나 조작되면 이를 기반으로 구축된 전체 시스템이 취약해집니다.

2. 오라클 조작 공격은 공격자가 오라클이 보고한 가격 데이터에 인위적으로 영향을 미쳐 허위 정보를 기반으로 스마트 계약이 실행되도록 하는 경우에 발생합니다. 많은 DeFi 프로토콜은 가격 피드를 사용하여 담보 가치, 청산 임계값 및 거래 실행을 결정하므로 일시적인 왜곡이라도 상당한 재정적 손실을 초래할 수 있습니다.

3. 일반적인 방법 중 하나는 유동성이 낮은 시장에서 직접 가격을 가져오는 오라클을 활용하는 것입니다. 이러한 거래소에서 대규모 거래를 실행함으로써 공격자는 일시적으로 가격을 공정한 시장 가치보다 훨씬 높거나 낮은 수준으로 올릴 수 있습니다. 오라클이 왜곡된 가격을 입력으로 사용하는 경우 대출 플랫폼은 과도한 담보 대출을 허용하거나 부당한 청산을 유발할 수 있습니다.

4. 또 다른 벡터는 시간 기반 조작입니다. 일부 오라클은 과거 가격 평균 또는 시간 가중 메커니즘에 의존하지만, 기간이 너무 짧거나 부적절하게 구성된 경우 플래시 대출로 인한 급격한 가격 변동으로 인해 여전히 판독값이 왜곡될 수 있습니다. 플래시 대출을 사용하면 공격자는 담보 없이 수백만 달러를 빌리고 해당 자금을 사용하여 시장을 조작하고 대출금을 상환할 수 있습니다. 이 모든 것이 단일 블록체인 거래 내에서 이루어집니다.

5. 볼륨 임계값, 다중 데이터 소스 또는 회로 차단기와 같은 보호 장치를 구현하지 못하는 프로토콜은 특히 위험합니다. 단일 오라클 또는 소수의 중앙 집중식 데이터 제공업체에 의존하면 노출이 증가하여 변동성이 높거나 공동 공격이 진행되는 기간 동안 시스템 오류가 발생할 가능성이 높아집니다.

Oracle 공격의 실제 사례

1. 2020년 bZx 프로토콜은 오라클 조작을 활용한 두 번의 개별 공격을 며칠 내에 겪었습니다. 공격자는 특정 토큰의 가격을 부풀리기 위해 분산형 거래소에서 플래시 대출과 합성 자산 거래를 조합하여 사용했습니다. 이 조작된 데이터는 bZx의 대출 메커니즘에 입력되어 공격자가 실제 담보 가치보다 훨씬 더 많은 것을 빌릴 수 있게 되었습니다.

2. 2020년 10월 Harvest Finance에서도 비슷한 사건이 발생했습니다. 공격자는 인위적인 공급 불균형을 만들기 위해 플래시 대출을 사용하여 특정 유동성 풀에서 USDC 가격을 조작했습니다. Harvest의 수확량 농사 전략은 이러한 풀의 가격 피드에 의존했기 때문에 시스템이 사용자 잔고를 잘못 계산하여 2,400만 달러가 넘는 돈을 도난당할 수 있었습니다.

3. 또 다른 경우에는 오라클이 토큰 스왑을 처리하는 방식의 취약점으로 인해 Value DeFi가 악용되었습니다. 공격자는 플래시 대출을 통해 유동성 풀의 토큰 비율을 조작함으로써 예금이 실제보다 훨씬 더 가치가 있다고 믿도록 프로토콜을 속여 무단 인출로 이어졌습니다.

4. 이러한 예는 반복되는 주제를 강조합니다. 수신 가격 데이터의 온전성을 검증하지 않거나 변동성이 큰 온체인 소스에만 의존하는 프로토콜이 주요 목표입니다. 보고된 가격과 실제 시장 가격 사이의 작은 불일치도 이익을 위해 무기화될 수 있습니다.

5. 이러한 공격의 여파는 종종 긴급 종료, 사용자 신뢰 상실, 비용이 많이 드는 거버넌스 개입으로 이어집니다. 일부 팀은 소급 수정이나 보상 계획을 시행했지만 평판과 자본에 대한 피해는 오래 지속될 수 있습니다.

Oracle 공격에 대한 완화 전략

1. Chainlink와 같은 분산형 오라클 네트워크를 사용하면 단일 데이터 포인트에 대한 의존도를 줄일 수 있습니다. 이러한 네트워크는 평판이 좋은 여러 소스로부터 가격을 집계하고 경제적 인센티브를 사용하여 데이터 정확성을 보장합니다.

2. 시간 가중 평균 가격(TWAP)을 구현하면 단기 변동을 완화하는 데 도움이 됩니다. 조치를 실행하기 전에 정의된 기간 동안 가격 편차가 지속되도록 요구함으로써 프로토콜은 플래시 대출에 의한 조작을 방지할 수 있습니다.

3. 온전성 검사 및 편차 제한을 도입하면 정상 범위를 벗어나는 갑작스러운 가격 변동이 표시되거나 거부됩니다. 예를 들어, 해당 오프체인 이동 없이 토큰 가격이 몇 초 만에 30% 상승하면 시스템은 작업을 일시 중지할 수 있습니다.

4. 교환 API, 브로커 피드 또는 기관 가격 책정 등 온체인 유동성 풀을 넘어 데이터 소스를 다양화하면 탄력성이 향상됩니다. 온체인과 오프체인 데이터를 결합한 하이브리드 모델은 공격자가 모든 입력을 제어하기 어렵게 만듭니다.

5. 특히 Oracle 통합에 초점을 맞춘 정기 보안 감사를 통해 구성 결함을 발견할 수 있습니다. 많은 악용은 손상된 암호화에서 비롯된 것이 아니라 타임스탬프 유효성 검사 실패 또는 유동성 지표 무시와 같은 잘못된 구현 논리에서 비롯됩니다.

자주 묻는 질문

오라클이 조작에 취약한 이유는 무엇입니까? 오라클은 유동성이 낮은 시장에서 데이터를 가져오거나, 집계 메커니즘이 부족하거나, 지연 또는 검증 계층을 통합하지 못하는 경우 취약해집니다. 가격 업데이트가 단일 거래 또는 소규모 거래 세트에 의해 영향을 받을 수 있는 경우 조작 위험이 크게 높아집니다.

분산형 오라클을 완전히 신뢰할 수 있나요? 단일 오라클 솔루션은 공격으로부터 면역되지 않습니다. 분산형 네트워크는 신뢰성을 향상시키지만 노드 운영자 및 데이터 소스만큼만 강력합니다. 경제적 인센티브는 공모를 방지하도록 조정되어야 하며, 모니터링 시스템은 보고 행동의 변칙을 감지해야 합니다.

플래시 대출은 어떻게 오라클 조작을 가능하게 합니까? 플래시 대출은 동일한 거래 내에서 대출금이 상환되는 경우 사용자가 담보 없이 일시적으로 큰 금액을 빌릴 수 있도록 합니다. 공격자들은 이러한 자금을 사용하여 분산형 거래소에서 자산 가격을 왜곡하는 대규모 거래를 실행합니다. 오라클이 조작된 풀에서 데이터를 가져오면 거짓 데이터를 종속 프로토콜에 전파합니다.

오라클 조작을 실시간으로 탐지하는 도구가 있습니까? 예, 이제 여러 분석 플랫폼이 온체인 가격 편차, 유동성 변화, 오라클 업데이트 패턴을 모니터링합니다. 프로젝트는 가격 피드가 예상 임계값을 초과할 때 트리거되는 경고 시스템을 통합할 수 있습니다. 온체인 모니터는 수동 확인이 이루어질 때까지 중요한 기능을 정지할 수도 있습니다.