멘탈관리소

#20210206 하트넘버 45일차

최초시드 2375달러
현재자산 3938달러

일수익 +30달러
누적수익 +1563달러

318 views13:41

Forwarded from Horizon

홍석현) [the yearn.finance yDAI exploit, explained]

1.

한국시간으로 2월 5일 이른 새벽, yearn.finance의 yDAI 볼트에 예치된 35M DAI 중 11M DAI가 도난당하는 사고가 발생했다. 공격자는 그 중 약 2.7M DAI를 이득으로 취했고, yDAI의 DAI 교환 비율은 약 0.7까지 떨어져 30% 정도의 손해가 발생했다.

이 공격으로 인해 디파이의 전반적인 보안과 안전성 문제가 다시 한 번 대두되었다. 그도 그럴 것이 yearn 계열 볼트 컨트랙트들은 그동안 보안 사고가 단 한 번도 발생하지 않았으며 Pickle에 대한 공격 당시 취약점 분석에 주도적인 역할을 수행했는데, 그랬던 팀조차 결국 완벽하지 못했다는 것으로 받아들여졌기 때문이다.

하지만 이 공격은 완벽하게 기술적 문제로 인해 발생한 “보안취약점”으로만 보기에는 다소 무리가 있는 지점이 몇 가지 있다 (절대 Andre 때문에 이렇게 말하는 건 아니다). 당초 알려졌던 것과는 달리 플래시론이 동반되었고 충분히 막을 수 있는 공격이었던 것은 사실이나, 순수한 기술적 문제라기보다는 금융공학적인 설계 결함의 비중이 훨씬 더 크다.

yDAI 볼트에 대한 전반적인 공격 플로우를 이해하려면 (i) 플래시론, (ii) 커브와 커브 LP토큰, 그리고 (iii) yearn 볼트가 이자를 발생시키는 방식에 관해 먼저 알아볼 필요가 있다.

2.

먼저 플래시론은 흔히 알려진 대로, 하나의 트랜잭션 혹은 블록 내에 대출과 상환을 동시에 수행함으로써 실제로 없는 돈을 있는 것처럼 사용할 수 있도록 하는 기법이다. 이더리움에서는 멤풀에서 블록에 올라가기 전까지 오퍼레이션 간 타임 오더링이 명확하게 정해지지 않기 때문이다.

일반적으로 플래시론 기반 디파이 공격 패턴들을 살펴보면, 플래시론 그 자체는 주로 공격자가 이미 갖고 있지 않은 거액의 금액을 컨트랙트에 입금시킨 후, 오퍼레이션 오더링 문제를 이용해 이자 계산 로직 등을 망가트리는 데 사용된다. 하지만 이 yDAI 볼트 공격에서는 오더링으로 인한 컨트랙트의 기술적 결함이 활용된 부분은 없었다.

공격자는 각각 116K ETH와 99K ETH를 각각 dYdX와 Aave에서 플래시론한 이후 이를 담보로 컴파운드에서 134M USDC와 129M DAI를 대출하는 데 사용했는데, 그 이후에 일어난 공격 패턴은 이 플래시론 자체와는 크게 관련이 없다. 공격자가 실제로 이 금액을 가지고 있었다면 플래시론 없이도 똑같은 방식의 공격이 가능했을 것이라는 뜻이다 (물론 실제로 공격에 사용된 $170M어치 스테이블코인을 정말 들고 있어야만 이 공격이 가능했다면 애초에 진입장벽 자체가 매우 높아질 뿐만 아니라, $2.7M 정도 추가로 더 벌겠다고 저 큰 돈을 컨트랙트 공격패턴에 입금시킬 경제적 인센티브가 훨씬 작아지는 것은 사실이다).

따라서 플래시론이 이 공격패턴의 일부이고 공격 진입장벽을 훨씬 낮추긴 했지만 (~$170M -> 가스피 2 ETH), 결정적인 역할을 수행한 기술적 “보안취약점”은 아니다.

3.

두 번째로 알아두어야 할 지점은 커브, 즉 스테이블스왑 계열 AMM들이 LP토큰을 처리하는 방식이다.

스테이블스왑(https://www.curve.fi/stableswap-paper.pdf)은 invariant 가격곡선 자체에 현 유동성 비율에 따른 dynamic leverage (A*product(x_i)/(D/n)^n)을 적용함으로써, 실제보다 훨씬 유동성이 큰 것처럼 보이게 만들어주는 메커니즘이다. 밸런서에서 처음 도입된 virtual pool에 기반한 virtual price을 사용하므로 실제 유동성을 완벽하게 반영하지 않고, 유동성 비율과 관계없이 토큰들이 서로 최대한 1:1에 가깝게 교환되도록 만들어준다.

한 가지 독특한 부분은 커브와 스테이블스왑이 LP토큰을 처리하는 방식이다.

밸런서가 LP토큰을 마치 서로 다른 자산비중을 가진 ETF처럼 활용하는 것처럼, 커브에서는 LP토큰을 그 풀을 구성하는 자산들의 가치교환안정성을 모두 합친 일종의 헷징자산으로 활용할 수 있다. 네이티브 크립토 자산의 경우 이 특성이 큰 의미가 없을 수 있으나, 블록체인 바깥에서 발행되는 자산의 가치를 추종하도록 설계되어 있는 토큰들의 경우 (특히 법정화폐에 페깅되어 있는 스테이블코인이나 합성자산 등) 이는 매우 유용하게 활용될 수 있다. 서로 다른 메커니즘으로 자산가치를 추종하는 동일 가치 토큰들의 커브 LP토큰을 들고 있다면, 단일 가격보장 메커니즘에 의존하는 위험성을 어느 정도 헷징할 수 있다고 해석할 수 있기 때문이다.

이미 커브에서는 이를 활용해 이더리움 생태계 위에서 유동성이 가장 높은 (USDT, USDC, DAI) 세 가지 스테이블코인에 대해 3Crv라는 풀을 만들어놓고, 새로운 USD 페깅 스테이블코인이 상장될 때마다 3Crv LP토큰과의 스테이블스왑 페어를 만들어, 거래 시 이 세 가지 스테이블코인은 무조건 input/output 거래자산으로 활용될 수 있도록 구성되어 있다. 셋 중 하나의 스테이블코인을 선택하면 3Crv LP토큰을 먼저 받은 후, 이를 다시 풀에 있는 스테이블코인을 꺼내쓰는 데 사용하면 된다 (자산을 unwrap한다고 표현한다).

이런 방식으로 구성된 3Crv 페어 풀들을 커브에서는 “메타풀”이라고 정의한다.

3Crv-LP <> Stablecoin 간 교환(즉 3Crv unwrapping) 메커니즘은 *유동성 비율이 극도로 깨지지 않는 한* 유효하다. 여기서 *극도*의 기준이란, 스테이블스왑 레버리지 공식 A*product(x_i)/(D/n)^n을 적용했을 때조차 virtual price가 0.9나 그 밑으로 떨어지는 경우다.

이러한 경우, 굉장히 커다란 문제가 발생한다. Virtual price가 1:1에 가까운 시점에서는 그 어떤 스테이블코인을 3Crv 풀에 예치해도 레버리지를 적용한 이후의 가격이 사용되어, 그 예치액수에 매우 가까운 만큼의 3Crv LP토큰이 발행된다 (커브에서는 다른 AMM들과는 달리, 풀을 구성하는 자산 중 하나 이상의 자산만 예치해도 LP토큰을 발행해준다. 풀 전체를 하나로 보고, 균등교환비율 가정 아래에서 그만큼 풀의 지분을 가져가는 것으로 보기 때문이다. 유동성을 제거할 때는 풀을 구성하는 자산 중 어떠한 자산으로도 출금이 가능한데, 이 때 내부적으로 한 번 전체 스왑이 일어난 이후 자산이 반환된다). LP토큰 자체가 풀을 구성하는 자산에 대한 aggregating asset이기 때문이다.

그러나 유동성 비율이 크게 깨지게 되면, 유동성이 부족한 쪽에 자산을 예치하면 LP토큰을 예치금액보다 더 많이, 그렇지 않은 쪽에 자산을 예치하면 예치금액보다 더 적게 받게 된다. 이는 실제 외부 시장에서 거래되는 가격과는 전혀 관계없이 커브 풀 내의 유동성에 의해서만 결정되고, 따라서 유동성이 일시적으로 크게 출렁이면, 다시 1:1로 돌아가기 위한 아비트라지를 유도하기 위해서 실제 가치보다 LP토큰인 3Crv를 훨씬 더 많이 받게 될 수도, 더 적게 받을 수도 있다 (즉 impermanent loss를 액면가 그대로 반영해버리는 것이다). 따라서, 그 자체로 일종의 스테이블코인으로 작용하는 wrapping asset인 3Crv를 실제 달러 대비 예치액보다 더 많이 가져가는 상황이 된다.

yDAI 볼트에 대한 공격이 가능했던 이유는 너무 당연하게 받아들여졌던 커브의 3Crv 가정이 깨져버리고 위의 상황이 정말로 일어나버렸기 때문인데, 구체적인 방법에 관해서는 잠시 후에 알아보자.

4.

마지막으로, 이번에 문제가 된 yearn.finance yDAI v1 볼트의 메커니즘을 간단하게 살펴볼 필요가 있다.

커브는 위의 유동성 비율 문제를 해결하기 위해 일부 페어들에 대해 liquidity mining 인센티브를 제공한다. 즉, 유동성 비율이 한 번에 너무 많이 바뀌지 않게 하기 위한 방어 차원에서 최대한 자산이 많이 예치되도록 유도하기 위해 리워드를 추가로 나눠주는 것이다.

이 리워드는 커브의 DAO 토큰인 CRV로 분배된다. 이 CRV를 DAO에 묶으면 vested CRV (veCRV) 토큰이 베스팅으로 인해 디밸류된 만큼 발행되고, 해당 veCRV는 상장심사 등 커브의 거버넌스 절차나 추가적인 베스팅 리워드 수령 등에 사용될 수 있다.

1.16K views00:15