요약
BiFi의 BTC 주소 등록 서버에 대한 보안 공격으로 인하여 정당하지 않게 자금이 유출되는 사고가 있었습니다. 무엇보다 본 사고에 놀라시고 실망하신 커뮤니티의 여러분께 사과드립니다. 현재 공격에 노출된 부분들을 제거하고, 현재 BiFi 서비스는 다시 안전하게 운영되고 있으며, 혹시 있을지 모르는 추가 위협에 대비하고자 BTC 관련 기능들을 잠시 정지하였으며 안전성이 검증되는 대로 단계별로 서비스를 재개할 예정입니다. 본 사건에 의해서 발생한 손실은 100 % 전액 BIFROST 재단에서 바로 보충하여 서비스 사용에 어떠한 불편도 없도록 하겠습니다.
지금까지 파악된 정보에 의하면, 공격은 BiFi 스마트 컨트랙트와 프로토콜의 취약점을 이용한 것이 아니라, 공격자가 BTC 주소 등록 서버에 침투하여 서버의 키 정보를 탈취한 서버 보안문제에 국한되어 있습니다. 따라서 Theori의 보안 검수를 받은 BiFi 서비스 자체에 대한 안전성은 아직도 유효하며, 여러분의 자산도 지속적인 모니터링을 통해서 안전하게 운영되고 있습니다. 노출된 key와 관련된 핵심 보안 정보는 안전하게 갱신하였습니다. 서버 운영의 보안 사고에 대해서도 유수 보안업체와 긴밀한 협력을 통하여 문제점을 분석하고 더 나은 해결책을 모색하고 있습니다. 다만, BTC에 관련된 기능은 완전한 보안 점검을 마칠 때까지 단계적으로 오픈할 예정입니다.
상세 경위 및 공격 Timeline
BiFi에서는 BTC를 예금하는 사용자별로 별도의 입금 주소를 발급하여 사용하고 있습니다. 해당 입금 주소는 발급 서버의 서버키로 서명되어 전달되고, 서명이 검증된 경우에만 BiFi에 반영됩니다. 이번 보안 사고는 공격자의 침투로 주소 발급 서버의 서버키가 노출되어, 공격자가 자신의 입금 주소를 변조한 메시지를 직접 서명할 수 있게 되면서 발생하였습니다. BiFi는 잘못된 주소로 설정된 것을 인지하지 못하고, 입금된 내역을 시스템에 반영하였습니다. 공격자는 가짜 입금액을 담보로 1,852 ETH를 대출하였습니다.
공격자 정보
eth-address: 0x282971deD7D0B8C5b0358EbEbe3B2bC6A24a6b10
btc-address:
- address:
bc1qmgh7w47myz7kt7x34zqlr5azck7u8j8ewg3u2j - pubkey hash:
0xDa2fe757Db20Bd65F8D1a881F1D3a2C5BdC3c8F9
Timeline
- 2022. 07. 08. 20:13 KST — BiFi BTC contract에 공격자 입금 주소 주입 (탈취한 키를 이용하여 서명이 조작된 메시지 이용)
2. 2022. 07. 08. 20:03 KST — 공격자가 조작된 입금 주소로 321 BTC 입금. (1번 과정과 거의 동시 진행. Bitcoin의 특성상 timestamp의 오차가 있음.)
3. 2022. 07. 08. 20:34 KST — Relayer가 입금을 감지하고, 입금 검증 내역을 BiFi에 전달.
4. 2022. 07. 08. 21:17 KST — Relayer의 confirm (BTC 담보 정보를 표현하는 BiBTC 토큰 민트 후 공격자에게 전달)
5. 2022. 07. 08. 22:35:01 KST — 공격자의 1,852 ETH 대출
- https://etherscan.io/tx/0x4b5d66871af64da0fd5ac448474235079ae0cb93db70366eed2808ca56dfcf76
- BTC deposit에서 이더리움 340 blocks이 경과된 이후에 대출이 실행
대응 방안
노출된 키와 관련된 정보는 모두 삭제하고 새로 설정하였으며, 현재 동일한 공격 및 공격자의 추가 피해가 일어나지 않도록 제한을 걸어두었습니다. 보안 정보의 노출이 의심되는 BiFi의 BTC 관련 서비스는 현재 작동하지 않으며 단계별로 재개될 예정입니다. 자세한 사건 경위에 대하여 더 분석하며, 사건이 재발되지 않도록 새로운 환경으로 시스템 이전을 진행하고 있습니다. 본 사건에 의해서 발생한 손실은 100 % 전액 BIFROST 재단에서 바로 보충하여 서비스 사용에 어떠한 불편도 없도록 하겠습니다.
공격자가 조속히 90%의 자금을 반환하면 법적 조치를 취하지 않겠습니다. 하지만 자금이 안전하게 반환되기 전까지는 수사기관과 긴밀하게 협력하여 공격자를 지속적으로 추적하는 노력을 계속하도록 하겠습니다. 현재 외부 서비스 업체들에 기록 공유 요청을 통해 추적을 위한 모든 수집하고 있습니다.
