글: Muriuki Lazaro, AMB Crypto
INK Finance는 Polygon에 배포된, DeFi를 위한 재무 관리 및 작업 공간 인프라 프로토콜로, 최근 심각한 권한 부여 취약점 공격을 겪었습니다.
공격자는 플랫폼 재무부 검증 로직의 취약점을 이용하여 결국 약 14만 달러의 자금을 이체했습니다.
이번 공격의 핵심은 가짜 claimer 계약이 재무부 시스템의 승인된 화이트리스트 엔티티를 성공적으로 사칭한 데 있습니다.
이 우회로 인해 공격자는 자격 검사를 통과하고 즉시 제한을 받지 않은 상태에서 "승인된" 재무부 전송을 트리거할 수 있었습니다.
한편, 공격자는 Railgun을 통해 Polygon으로 라우팅된 약 2만 5천 달러 규모의 Balancer V2 플래시 론을 이용하여 익스플로잇 실행 속도를 높였습니다.
이러한 자금 흐름은 DeFi 인프라의 상호 연결성이 깊어짐에 따라 유동성 시스템 간의 연계가 공격 실행 효율성을 높이고 있음을 보여줍니다.
보도에 따르면, 공격자는 고급 암호화 계층을 겨냥한 것이 아니라 화이트리스트 권한과 관련된 운영 신뢰 가정 문제를利用了으며, 이는 재무부 아키텍처에서 권한 부여 설계의 취약성에 대한 외부의 우려를 다시 한번 강화했습니다.
재무부 권한 부여 시스템, DeFi의 취약 지점으로 부상
이번 재무부 취약점 사건은 DeFi 공격 표면에 더 광범위한 변화가 일어나고 있음을 반영합니다. 인프라 복잡성이 증가함에 따라 공격자들은 더 이상 유동성 풀이나 가격 책정 시스템에만 집중하지 않고, 프로토콜 준비금을 보유한 고권한 재무부 권한 부여 계층을 점점 더 노리고 있습니다.
INK Finance의 사건은 공격자들이 저비용, 고정밀 방식으로 재무부 권한 부여 시스템을 공격하고 있음을 보여줍니다.
이러한 추세는 현대 공격 방법이 더 광범위한 유동성 조작보다는 권한 상승에 점점 더 중점을 두고 있음을 시사합니다.
한편, 이와 유사한 화이트리스트 및 접근 제어 사건은 2026년 DAO 재무부 시스템에서 계속 증가하여, DeFi 인프라 확장 과정에서 운영 검증 측면의 약점을 반복적으로 드러내고 있습니다.
그러나 이러한 지속적인 권한 부여 결함은 탈중앙화 금융의 운영 보안 성숙도가 인프라 및 자본 규모의 성장 속도를 여전히 따라가지 못하고 있음을 보여줍니다.
소규모 공격도 DeFi 신뢰를 약화시키다
재무부 권한을 노리는 공격 사건이 증가함에 따라 DeFi 인프라에 대한 시장의 전반적인 신뢰가 점차 약화되고 있습니다.
INK Finance의 이번 손실 규모는 상대적으로 매우 크지는 않지만, 이 사건은 여전히 보안 대시보드와 온체인 모니터링 시스템에 신속하게 포착되었습니다.
이러한 가시성이 중요한 이유는 사용자들이 반복적으로 발생하는 소액 보안 사건을 생태계 기반 인프라가 여전히 취약하다는 신호로 받아들이는 경향이 있기 때문입니다.
보도는 또한 SmartCredit, Sharwa, Quant 등 유사한 사건들이 운영 보안 규율의 취약성에 대한 외부의 우려를 지속적으로 강화하고 있다고 언급했습니다.
이 사건은 직접적인 재정적 손실이 제한적이더라도, 지속적인 권한 부여 실패가 사용자 신뢰를 점차 약화시키고 자본 배치 속도를 늦추며 상호 연결된 시스템 전반의 위험 경계심을 높이기 때문에, 소규모 공격도 불균형적으로 큰 시장 영향을 미칠 수 있음을 보여줍니다.
그러나 이러한 취약점 중 상당수는 극도로 복잡한 기술적 실패라기보다는 피할 수 있었던 권한 설정 문제에서 비롯됩니다.
간단히 말해, 운영 보안 성숙도는 여전히 인프라 복잡성의 발전을 따라가지 못하고 있습니다.
간략 요약
- INK Finance는 공격자가 가짜 claimer 계약을 통해 화이트리스트 검증을 우회하여 약 14만 달러의 손실을 입었습니다.
- 반복되는 DeFi 소액 권한 부여 공격이 업계 인프라에 대한 사용자 신뢰를 지속적으로 약화시키고 있습니다.
