- 현재 약 6000여개의 지갑에서 해킹이 이뤄진 것으로 보임. (https://dune.com/queries/1131425) (⚠️코드 확인 필요)
- 현재 약 5m$(65억) 피해 (https://twitter.com/watcherguru/status/1554634531738734592?s=21&t=wABfu1Q1PfYYnmrQ8Xahkw)

현재 slope과 trustwallet에서는 SPL USDC 외에 ERC-20 토큰도 빠져나가는 것 같군요. 다들 조심하시길 바랍니다.

https://twitter.com/JustinBarlow/status/1554623496897957888?s=20&t=-r4iT7aEOx_XGKoF7VrnLg

피해지갑 약 8000개 도달중. 해킹이 여전히 지속되고 있습니다. 관련 이슈를 계속 트래킹하고 있으나 문제 원인도 제대로 밝혀지지 않았네요.

phantom, slope, trust 등 해킹 사례가 보고된 지갑의 자산은 하드월렛 또는 중앙거래소로 빠르게 보내시길 바랍니다. SOL, USDC, ERC-20 토큰 등 모든 자산 조심하시길 바랍니다.

[솔라나 해킹 현재 진행 상황]

1. 지갑 해킹은 Slope 지갑 취약점에서 비롯된 것으로 확인되었습니다. Slope과 상호작용한 다른 지갑까지 영향을 받은 것으로 보입니다. (https://twitter.com/SolanaStatus/status/1554921396408647680)
2. 슬롭측은 이를 인정했지만, 원인에 대한 설명과 얼마나 많은 정보가 유출된 것인지에 대해서는 밝히지 않았습니다.
3. 현재 여러 가설이 논의 중이며, 가장 큰 가설 중 하나는 "Slope 지갑 개인키를 중앙화 서버에 일반 텍스트로 저장하는 방식에서 비롯된 것 같다." 입니다. (https://www.coindesk.com/business/2022/08/03/solanas-latest-6m-exploit-likely-tied-to-slope-wallet-devs-say/)

더 살펴볼 필요가 있겠지만 이번 해킹은 솔라나 자체의 문제는 아닌 것 같습니다. 다만, 앞으로 지갑에 대한 설계, 그리고 정보 저장 방식에 대해 더 엄격해질 필요가 있다고 생각됩니다.

???: 해커범에게 전한다. 90%를 돌려주면 법적인 문제 없이 넘어가겠다. 10%는 보상으로 주겠다. 48시간 주겠다(엄근진)

퍽이나...

https://twitter.com/slope_finance/status/1555653747077877760?s=21&t=81AA9EqMh1VmOEnXQ6Fx4A

Slope 공지의 원본은 Nomad였네요.

Nomad Bridge는 최근 1억 9000만 달러 규모의 해킹을 당했었죠. (그래서 4500만 달러만 남았음.) 글을 보시면 알겠지만 90%를 회수할 경우 법적인 문제를 제기하지 않겠다고 합니다. (Slope은 따라쓴듯?)

공식 트위터에 따르면 현재 86개 지갑에서 3200만 달러를 회수했다고 합니다. 그래도 Nomad는 화이트해커도 부분적으로 있었을 것 같아서 어느정도 더 회수 가능하지 않을까 생각합니다.


—
물론 취약점 자체에 대해서 책임은 더 명확하게 물었으면 합니다. 간단하게 이들의 실수를 정리하자면... (https://www.blockmedia.co.kr/archives/245179)

1. 약 1개월 전 프로토콜 업데이트
2. "initialize()” 함수를 호출할 때 제로 루트(0x00)를 허용 가능한 루트로 표시하는 실수
3. 즉. 모든 호출 메시지가 유효하게 진행
4. 누군가 발견 후 시도
5. 같은 방식으로 동시 다발적 해킹
6. 대규모 손실 발생

https://twitter.com/nomadxyz_/status/1555293965049630722

KBW 첫날 후기

KBW의 오전 일정을 끝내고 필자의 경우는 오후 일정은 다른 미팅때문에 참석하지 못하게 됩니다. 대부분의 참석자 분들도 행사장 주변에는 있지만 결국 외부 미팅이나 일정등으로 바쁜 것으로 확인되고 있습니다. 행사장관련 느낀 점들.

🔸대형 스크린과 PT, 연사들의 PT에 대한 동시통역등 준비성이 좋음.
🔸부스 형태의 스폰서 프로그램 홍보도 규모적으로 잘 준비가 됨.
🔸우영우 NFT 2시에 에어드랍이라는데, 시간이 안되어서 못받음 ㅠㅠ
🔸점심 부페형태로 제공되었으나 손데지 않음. 주변 지인분들 먹고 남김. 행사 부페의 한계를 넘지는 못함.
🔸한국 크립토계 인플루엔서는 비교적 많이 오프에서 참석을 함.
🔸2층과 5층으로 나뉜 행사장으로 결국 필자도 5층을 벗어나지는 못함. 2층 행사장이 5층에 비해 찼을지가 개인적으로 궁금함.
🔸5층은 인사인해. 비탈릭 PT끝나고도 전자리 꽉 찬 상태로 뒷줄에 들어가지 못하고 서있는 사람들 수드륵.
🔸한국에서 전자 박람회를 열어도 이정도 업계 인원이 붐비는 것은 목격하기 쉽지 않음.
🔸네트워킹을 하기에는 행사장은 너무 좁고 어수선함. 다음에는 꼭 사이드 행사에 가지 않아도 네트워킹을 할 수 있는 공간이 따로 마련되어 있으면 좋을 듯. 사실 5층 부스 공간이 그런 의미로 만들어진 듯 한데, 사람이 너무많아서 사실 움직이는것 조차 힘듬.

🔰개인적인 생각
행사장과 오프에서만 느낄 수 있는 열기는 확실히 있었습니다. 그만큼 그동안 블록체인에 대한 인지도나 업계 자체가 사이즈로 성장하고 있다는 것을 볼 수 있었습니다. 또한 블록체인 업계에서 활동하기 위해서는 영어 사용의 필수성도 다시한번 보여지면서 네트워킹을 국내로만 한정시키지 않을 경우 해외 프로젝트와 네트워크와 교류하기 위해서는 언어적 활동 범위 역시 정해지는 것을 볼 수 있었습니다.

내일 오전의 연사들의 대한 내용과 수요일 이후부터는 대부분 사이드 이벤트 네트워킹에 대한 내용 전달을 드릴 수 있을 것 같습니다.

👉원본글 : https://news.1rj.ru/str/jayplaystudy

해당 채널에서 kbw 관련 정리들이 지속적으로 업데이트 되고 있네요. 못오신 분들은 해당 채널에서 관련 정보 확인하면 좋을 것 같습니다.

컴투스의 새로운 메인넷이 출시되는군요. C2X의 다음으로 XPLA가 나왔습니다. 내일부터 테스트넷을 진행할 예정이라고 하네요. 코스모스 생태계에 있으며, EVM을 지원한다고 합니다.

Curve의 도메인 curve.fi가 해킹당했었군요. 완전히 복구 전까지 curve.exchange 로 사용하라고 합니다.

스레드를 보니 DNS management쪽이 해킹당한 것 같다는 말이 있네요. 도메인 이름을 건드는 것은 비교적 쉽지만 강한 공격이라는 생각이 듭니다.

상당히 재미있는 문제인 것 같습니다. 소비자를 완전하게 속이기 위해서는 어떤 부분까지 변조해야할까요?

https://twitter.com/curvefinance/status/1557116419497672711?s=21&t=93EOnLDG2PCnMrf7t_5hnA

L2체인인 arbitrum의 Nova체인이 오늘 public으로 전환되었습니다!

주목할만한 부분은 Reddit이 공식적으로 포인트 시스템을 Nova 체인에 올린다고 합니다. 최근 다양한 서비스가 Polygon으로 가는 것과 다르게 신선하네요.

어떤 장점이 있는지는 조금 더 살펴보겠습니다.

https://medium.com/offchainlabs/its-time-for-a-new-dawn-nova-is-open-to-the-public-a081df1e4ad2

Curve의 피해액이 적지 않네요. (2시간전)바이낸스의 CZ에 의하면 현재까지 피해액이 570k$라고 합니다. 한화로 약 7억정도 규모네요.

🚧현재 토네이도 캐시 관련 상황 정리🚧

[사건과 관련된 기본적 지식]
1. Tornado Cash(TORN)는 암호화폐를 익명화하는 이더리움 기반 오픈소스입니다.
2. 지난 8월 8일 Tornado Cash가 미국 제재 목록에 추가되며 4억3700만$가 차단됨.
3. 위험한 자금세탁을 막기 위한 OFAC(해외 자산 통제국)의 결정 => 미국한정
4. 실제로 과거 해킹 자금 중 일부는 Tornado Cash로 세탁. 미 재무부에 따르면 북한 해킹 집단 '라자루스'의 해킹 자금 4억5500$이 이렇게 세탁되었다고 함. 지금까지 전체는 약 70억$ 예상.
5. 이번 제재 대상에는 GitCoin Grants도 포함되며 40개가 넘는 지갑.
6. Tornado Cash를 사용할 경우, 최대 33만$의 벌금과 최대 30년형.
7. 제재에 대한 내용이 광범위. 우선 상호작용하는 거래는 모두 불법(전송/수신). 내용 자체가 모호한 부분이 있어 토네이도 웹사이트를 들어가는 것도 불법으로 여겨질 수 있음
8. 현재 해당 제안에 대한 논의가 활발하게 이뤄지고 있음.

[현재 진행 상황]
1. Circle은 해당 주소의 USDC를 즉시 동결
2. GitHub은 Tornado 오픈소스 컨트리뷰터 계정을 정지 (이것이 "오픈소스"인가?에 대한 논의가 이뤄지고 있음)
3. 누군가 유명인의 주소에 Tornado Cash로 0.1 eth 씩 보냄 (https://twitter.com/0xJim/status/1557035689425895425?s=20&t=cIvEg7X37v-CbT_UKpJ5vw)
4. 우크라이나 기부 등 개인정보보호에서 Tornado를 사용할 수 있음을 여러 사람들이 주장. 대표적인 주장은 비탈릭: "저는 그 이유(우크라이나 기부)로 TC를 쓴 사람임을 밝힙니다. 이유는 내가 아닌 받는 사람에 대한 보호" (https://twitter.com/VitalikButerin/status/1556925602233569280)

DAVA 프로젝트의 blocksage.eth님의 백서 작성 후기 내용이 좋아 공유합니다. 요약하면 다음과 같습니다.

1️⃣ 쉬운 어휘로 문제의 공감대와 전문성 동시에 전달하기
2️⃣ 실존하는 문제를 찾아서 공감대를 형성하기
3️⃣ 형태나 양식 고민하는 데 시간 낭비하지 말자
4️⃣ 문제 전달과 해결의 논리구조를 가장 먼저 짤 것
5️⃣ 수학 공식 멋지지만 의도가 명확할 때만 사용하자
6️⃣ 빠르게 피드백 루프를 구축하라

https://twitter.com/blocksage_eth/status/1557542492350091264

⭐️Aptos 백서가 나왔습니다.⭐️

"The Aptos Blockchain: Safe, Scalable, and Upgradeable Web3 Infrastructure"

"안전하고, 확장성있으며, 업그레이드 가능한 Web3 인프라"라니 제목에서 뭔가 자신감이 느껴지네요
Introduction에서 언급하는 Aptos의 소개를 간략하게 보면 다음과 같습니다. (오역 또는 부족한 내용이 있을 수 있으니 DYOR)

1️⃣ Move 언어를 사용하여 빠르고 안전하다. 또한 Move Prover라는 공식 검증자를 사용하여 더 보안적으로 강함
2️⃣ 유연한 키 관리 및 하이브리드 보관 옵션 가능
3️⃣ 빠른 속도를 위해 파이프라인 및 모듈식 접근 (1)트랜잭션 보급 (2)블록 메타데이터 오더링 (3)병렬 트랜잭션 (4)일괄 저장 및 원장인증
4️⃣ 병렬처리를 하지만 원자성 보장. 처리량을 높이고 대기 시간을 줄였으며 개발을 간소화함.
5️⃣ Aptos 모듈식 아키텍처 설계는 클라이언트 유연성 지원, 즉각적 업그레이드를 위한 최적화.
6️⃣ 모듈식 설계 및 병렬 엔진은 validator의 내부 샤딩 지원, homogeneous 상태 샤딩은 노드 운영자에게 추가적인 복잡성을 추가하지 않고 수평 처리량 확장.

https://github.com/aptos-labs/aptos-core/blob/main/developer-docs-site/static/papers/whitepaper.pdf

탈릭이형 블로그가 다크모드를 지원한다고 합니다!
이걸 올리는 이유는 넘 귀여워서...

https://twitter.com/VitalikButerin/status/1558079335067799552

⚠️Tornado Cash 현황 (DYOR)

- 개발자 1명 체포 (https://www.fiod.nl/arrest-of-suspected-developer-of-tornado-cash/)
- 웹사이트, 깃헙, 디스코드 삭제
- 개발자 깃헙 계정 삭제
- RPC에 의한 컨트랙트 차단 (+우회해서 사용할 수 있다고 함)
- 과거 유저들 메이저 dapp에서 차단

사토시 선생님 어떻게 하면 좋을까요?

저스틴 선 Aave에 밴 당했네요.
토네이도 캐시의 여파가 어디까지 갈지 궁금합니다.

Tornado Cash, 스캠NFT 등 소매넣기를 당할 때, 이를 방지할 수 있는 기능이 있어야 하지 않을까 생각도 드네요.

진정한 크립토 인싸는 몇 명 정도일까?
Tornado Cash로 0.1eth 소매넣기 정도는 당해야하지 않을까요?

8월8일부터 지금까지 0.1eth를 받은 주소는 총 274개 => 200~300명 내외가 "진짜" 크립토 인플루언서다.

코드가 궁금하신 분들은 https://dune.com/subinium/tornado-cash-dashboard

(좋은 댓글 주신 코백장님@coinBok 감사합니다.)