아니 이게머선129, Kleva Protocol 해킹?

출처 : Kleva Protocol 홈페이지

 

1. Kleva Protocol Hacking? 

(경과)

 - TVL 5억달러를 돌파하며, 클레이튼의 DEX로서 흥행하고 있던 Kleva Protocol에 해킹이슈 발생

 - '22.1.27자 KUSDT의 ibkUSDT와 KUSDT의 교환비율이 1:1이 아닌 1:0.85수준으로 변경

 - 대규모 KUSDT가 이체된 것으로 블록체인상 확인되며 해킹의혹이 커뮤니티에서 증폭

 - Kleva Protocol 개발진은 KUSDT Staking Pool의 거래를 정지시키며 사고대응에 나선 것으로 공지

2. Kleva Protocol의 해명과 탈중앙화 혹은 중앙화된 시스템

 - 결과적으로 코드 업데이트중 오류가 있었고, 이에 따라서 대규모 자산이 유출되는(위메이드 측에서는 이자 과잉지급으로 표현) 이벤트가 발생 (풍문에 따르면, Reference Code의 Copy&Paste를 수정없이 하는 바람에 발생)

 - 위메이드의 발표에 따르면, 99%이상의 자금이 회수될 것으로 전망

 - 다만, 코드(Code)를 통해서 자동화된 시장메이커(AMM)로 운영되는 DEX를 표방하고 있으나, 실제로는 굉장히 중앙화된 거래소와 다를바 없는 모습을 보였다. 개발과정도 중앙화된 형태였고, 수습에서도 중앙화된 기관들과의 협조를 통해서 수습한 것으로 이해된다. 

 - 만약, 정말 순수한 DEX형태였다면 이런 코드오류를 되돌릴수 없을 것이고, 개인의 순수한 선의에 의존했어야 될것이다. 블록체인, 스마트 컨트랙트, 자동화된 시장조성자(AMM), DAO 등 탈중앙화로 이어지는 여러 개념이 디파이(Defi)에서 흥행하고 있으나, 아직까지는 이상향이며 환상으로 존재한다. 

 

 

[클레바 공식 공지]
< Announcement : KLEVA Post-Mortem >
 
본 보고서는 2022년 1월 27일에 발생한 KUSDT Vault에 관련한 사고와 저희의 대응에 관한 전체적인 내용을 담고 있습니다.
 
[요약]
 
ibKUSDT Vault 업데이트에 오류가 포함되어 이자가 과잉 지급되었고, 오류 코드는 패치되었으며, 현재 사고에 연관된 개인/기관과의 협의를 통하여 자금 회수 중에 있습니다. 개인과 기관의 원활한 협조를 받아 자금의 99.41%를 회복하였으며 현재 반환 진행중에 있는 자금을 포함할 시 99.9%가 복구될 예정입니다.
 
부족한 자금은 토큰의 이동 중 발생한 수수료, 슬리피지 분이며 이에 대한 손실은 한치의 모자람도 없이 충원하여 최대한 빠른 시일내에 정상화하도록 하겠습니다.
 
[사고 내용]
 
2022년 1월 27일 19:28 KST에 KLEVA 팀은 Farming 기능 준비를 위해 코드 업데이트를 진행했습니다. 업데이트 및 테스트 과정에서 KLEVA 팀이 예상하지 못한 결함이 있었고, 그 결과 2022년 1월 27일 19:28 KST 이후로 예치된 자산에 대하여 과도한 이자가 지급되는 오류가 발생하였습니다.
 
2022년 1월 27일 19:32 KST에 KLEVA 팀은 ibKUSDT Vault가 이상 형태로 동작함을 확인하였고, 동일 19:50 KST를 기하여 ibKUSDT Vault의 모든 출금을 제한하는 코드 업데이트를 진행하여 오류로 인한 추가 피해를 차단하였습니다. 출금 차단이 이루어지는 약 22분간 2개의 계좌로 과지급된 피해액은 약 52M KUSDT입니다.
 
[원인]
 
ibKUSDT Vault의 코드를 수정하는 과정에서 이자 계산 코드에 예기치 못한 영향이 있었습니다. KUSDT의 precision이 다른 토큰에 비해 현저히 낮아 해당 부분을 보수하던 중, 잘못된 precision 설정값을 업데이트하게 되었고 그 결과 이와 같은 사태가 발생하게 되었습니다.
 
[대응 상황]
 
현재 ibKUSDT Vault는 출금이 차단되었습니다. 원인이 되는 코드는 수정되었습니다.
 
모든 Parameter는 정상 수치로 업데이트 되었습니다. 과출금된 KUSDT는 관계 기관과 당사자 분들의 협조를 통해 원활하게 회수되고 있으며 총 피해액의 99.41%에 대해서 회수가 확정된 상태입니다.
 
ibKUSDT Vault는 작업이 완료된 후에 출금이 재개될 예정입니다. 가장 빠르게 피해액을 복구하고 한치의 모자람도 없이 자금을 충당하여 모든 부분을 정상화할 것을 약속 드립니다.
 
ibKUSDT Vault 이외의 그 어떠한 KLEVA의 Contract도 이 이슈로 영향을 받지 않았습니다.
 
서비스의 일부 기능이 중지되고 여러 소문이 무성한 가운데 큰 혼란을 겪으셨을 모든 투자자분들께 진심으로 사과 드립니다.
 
[재발 방지 대책]
 
가장 정확하고 수준 높은 서비스를 보여드리기 위해 진행된 라이브 테스트가 되려 시스템에 영향을 끼치는 일이 일어났습니다. 앞으로 저희는 오랜 시간이 걸리더라도, 가장 안전하고 완전한 테스트 환경과 방법론을 도입하여 완벽한 QA를 진행하겠습니다. 또한 일반적으로 간단한 작업이라 일컫는 환경값 수정 작업 또한 Audit에 준하는 엄격한 과정을 통해 수행하겠습니다.
 

예상치 못한 사고로 심려를 끼쳐드린 점 다시 한 번 사과 드립니다. 가능한 모든 수단을 동원하여 발빠르게 대응하고 있으며, 이 과정에서 많은 도움을 주신 관계자 여러분들께도 감사의 말씀을 전합니다. 계속하여 대응하겠습니다.

 -

 

[관련정보]

 

https://sedaily.com/NewsView/2611HWXXKL

위메이드 '클레바' 해킹 의혹에 투자자 혼비백산…예치자산 하루새 1억 달러 빠졌다

https://m.wemade.com/PressRelese/PressReleseView/2030?page=1 

위메이드

https://gametoc.hankyung.com/news/articleView.html?idxno=64643 

위메이드 ‘클레바’, 일주일만에 예치 자산 6000억 돌파 - 게임톡