느린 안개가 드러낸 크로스 체인 브리지 Allbridge 공격 세부사항: 위조된 CCTP 메시지, 플래시 론, 발행 결과 검증 부족

느린 안개 보안 팀이 공개한 바에 따르면, 크로스 체인 브리지 프로젝트 Allbridge가 2026년 8월 19일 공격을 받아 약 19만 달러의 손실을 입었습니다. 주목할 점은 이번 공격이 즉시 완료된 것이 아니라는 것입니다. 공격자는 거의 한 달 전부터 준비를 시작했으며, 위조된 크로스 체인 메시지를 통해 검증 메커니즘을 우회했습니다. 느린 안개 분석에 따르면, 공격자는 7월 26일 폴리곤 체인에서 Circle의 MessageTransmitterV2.sendMessage 함수를 직접 호출하여 CCTP 스타일로 위장된 크로스 체인 메시지를 구성하였고, 100만 개의 USDC 전송이 있다고 주장했지만 실제로는 어떤 USDC 소각 작업도 발생하지 않았습니다. 이후 Circle은 정상적인 절차에 따라 해당 완전 메시지에 대한 유효 검증 증명(attestation)을 생성했습니다.

약 24일 후인 8월 19일, 공격자는 Base Router가 실제 CCTP 입금을 받고 잔액이 약 19.1만 USDC로 증가한 후 단 6초 만에 공격을 시작했습니다. 공격자는 이전에 위조한 메시지와 검증 증명을 이용해 Allbridge의 receiveCctpMessage 함수를 호출했습니다. 프로젝트가 중요한 검증을 누락했기 때문에 시스템은 가짜 크로스 체인 메시지를 실제 입금으로 잘못 인식하고 100만 USDC 한도를 기록했습니다. 이후 공격자는 Aave의 플래시 론을 통해 약 80.9만 USDC를 임시로 빌려서 라우터 잔액을 위조된 금액과 일치시켰고, 내부 신용 기록을 이용해 전송 함수를 호출하여 최종적으로 약 99.9만 USDC(0.1% 수수료 차감)를 전송했습니다. 플래시 론 및 수수료를 상환한 후, 공격자는 약 18.98만 달러의 순이익을 얻었습니다. 이번 취약점의 근본 원인은 Allbridge가 크로스 체인 메시지의 발신자와 수신자의 신원을 검증하지 않았고, USDC가 실제로 발행되었는지 및 잔액이 실제로 증가했는지를 확인하지 않았기 때문입니다. 대신 공격자가 구성한 금액과 메시지 해시 데이터를 직접 신뢰했습니다. 느린 안개는 체인 상의 메시지 검증이 실제 자산의 입금과 동일하지 않다고 강조했습니다. 크로스 체인 프로토콜은 메시지의 진위 여부를 검증할 뿐만 아니라 메시지 출처가 신뢰할 수 있고, 수신자가 Circle의 공식 TokenMessengerV2인지 확인해야 하며, 자산이 실제로 발행되고 잔액 변화가 확인된 후에야 자산 회계를 진행해야 합니다. 이번 사건은 크로스 체인 브리지가 메시지 검증 및 자산 정산 단계에서의 보안 위험을 다시 한번 강조합니다.