Emergency Inspection

We are currently working to normalize the entire service by identifying the cause of the KLAYswap site issues.

When the site normalization is completed and the entire service can be used stably, we will update it again through a notice.

We are very sorry for the inconvenience. We will try to find out the cause as soon as possible so that you can use the service normally.

안녕하세요 클레이스왑 커뮤니티 여러분,

저희는 지난 2월 3일 발생한 안타까운 사고와 관련해서 사고 내용 및 대응에 대한 리포트를 공유드린 바 있습니다. 해당 리포트는 외부 공격의 특성 및 세부 방식까지 포함하여 이와 관련된 또 다른 악용사례를 방지하고자 하는 목적이 있었으며, 모두 사실에 기반한 내용으로 작성되었습니다.

다만, 전체 내용이 모두 사실에 입각해서 작성되었음에도 불구하고, 사고 내용 및 대응과 관련된 일부 내용이 사실과 다르게 해석될 여지가 있음을 카카오의 요청으로 인해 확인하였습니다. 이에 저희는 지난번 발표한 사고 리포트를 확인하시는 분들이 조금 더 직관적으로 이해할 수 있도록 특정 표현 수정 및 추가적인 설명을 더하는 방식으로 일부 내용을 수정하였습니다. 수정이 진행된 특정 문단은 해당 내용의 수정 전/후를 모두 아래에 공유드립니다.

사고 내용 문단 중
(수정 전) 공격자는 클레이스왑의 구버전(1월 4일경) 코드를 기반으로, 사용자의 모든 트랜잭션 요청을 자신의 컨트랙트로 사용자의 토큰을 직접 보내거나(Transfer) 사용승인(Approve)하도록 변경하였고 클레이스왑 사이트에 로딩되는 Kakao SDK 스크립트를 변경하여 기존 클레이스왑 코드의 동작을 방해하고 자신의 코드가 실행되도록 하는 형태로 악성코드를 제작했습니다.

(수정 후) 공격자는 클레이스왑의 구버전(1월 4일경) 코드를 기반으로, 사용자의 모든 트랜잭션 요청을 자신의 컨트랙트로 사용자의 토큰을 직접 보내거나(Transfer) 사용승인(Approve)하도록 변경하는 악성코드를 제작하였고, 클레이스왑 사용자가 정상적으로 "https://developers.kakao.com/sdk/js/kakao.min.js" 를 요청하더라도 카카오가 제작한 정상적인 SDK 가 아닌 공격자 자신이 제작한 악성코드 파일이 다운로드 되도록 하여 기존 클레이스왑 코드의 동작을 방해하고 자신의 악성코드가 실행되도록 하는 형태로 클레이스왑의 동작을 변경했습니다.

사고 대응 문단 중
(수정 전) 클레이스왑 및 오르빗 브릿지 기능 제한과 함께 사고의 주요 원인으로 파악되는 감염된 Kakao SDK 파일을 제거하고 전반적인 소스 코드 점검을 진행하였습니다. 더불어 해커가 사용한 스마트 컨트랙트에 노출된 지갑 주소와 자산 목록을 모두 파악하였으며, 정상화된 클레이스왑 사이트를 통해 문제 컨트랙트에 승인된 자산 목록을 다시 해제할 수 있도록 추가 개발을 완료하였습니다. 노출된 지갑 주소 목록과 승인 내역을 삭제하는 방법은 아래에서 다시 한번 설명드릴 수 있도록 하겠습니다.

(수정 후) 클레이스왑 및 오르빗 브릿지 기능 제한과 함께 사고를 빠르게 분석하여, 카카오의 가이드라인에 따른 정상적인 경로인 "https://developers.kakao.com/sdk/js/kakao.min.js" 를 통해 Kakao SDK 를 요청했음에도 카카오가 제작한 정상적인 SDK가 아닌 악성코드 파일이 다운로드 되는 것을 확인하고, 클레이 스왑 사이트내에서 Kakao SDK 로딩을 제거하였습니다. 더불어 해커가 사용한 스마트 컨트랙트에 자산이 승인된 클레이스왑 유저 지갑 주소와 자산 목록을 즉시 파악하여 정상화된 클레이스왑 사이트를 통해 문제 컨트랙트에 승인된 자산 목록을 다시 해제할 수 있도록 추가 개발을 완료하였습니다. 노출된 지갑 주소 목록과 승인 내역을 삭제하는 방법은 아래에서 다시 한번 설명드릴 수 있도록 하겠습니다.

저희는 이번 사고에 대해 여러 관계사들과 함께 지속적인 관찰과 분석으로 정확한 문제 원인 파악과 재발방지 계획을 수립해 나가고 있습니다. 또한, 이와 관련된 내용이 사실을 기반으로 합리적으로 판단될 수 있도록 변경사항이 있을 경우 투명하게 공유드릴 예정입니다.

위의 수정 사항에 대해 혼선이 없으시기 바랍니다.

감사합니다.

수정된 사고 리포트 미디엄 포스팅 링크:
https://link.medium.com/5QSCJBCtmnb

안녕하세요 클레이스왑 커뮤니티 여러분,

지난 2월 3일, 클레이스왑을 개발한 오지스는 최근 발생한 안타까운 사고와 관련된 피해에 대해서 절차 상 필요한 정확한 문제 규명 및 책임 소재에 따른 보상 재원 조성 이전에 피해자 분들께 우선적으로 오지스의 비용부담으로 선제적인 ‘전액’ 보상 계획을 발표하였습니다.

그에 따라, 이번 포스팅에서는 이번 사고로 인해 유출된 자산에 대한 보상 진행 절차를 안내드리고자 합니다. 아래의 절차 가이드를 참고하시어, ‘클레이스왑 자산 유출 보상 신청서’ 작성 및 올바른 정보 제출을 부탁드립니다.

[보상 절차]

1. 피해 토큰에 대한 보상은 전송이 시작된 지갑 주소로 동일 수량이 반환됩니다. 반환 신청 전 토큰 승인 해제를 완료하신 후 신청을 부탁드립니다.
2. 보상 신청서 제출에 앞서 자산이 최초 유출된 지갑주소, TXID, 유출된 토큰의 이름 및 수량을 클레이튼의 공식 익스플로러인 ‘클레이튼스코프’ (https://scope.klaytn.com)를 통해 확인해주시기 바랍니다.
3. ‘클레이튼스코프’를 통해 사용하시는 지갑 주소를 검색하신 후 TXID 확인을 부탁드리며, 유출된 토큰의 종류에 따라 Internal Transactions(KLAY) 및 Token Transfers(KIP-7) 탭을 통해 TXID를 확인하실 수 있습니다.
4. 클레이스왑 자산 유출 보상 신청 방법 : Google Form을 통한 신청서 제출 [신청서 링크: https://forms.gle/wjNn4WPZV2xHQaDJ6 ]
5. 신청서 작성에 문의사항이 있을 경우, 클레이스왑의 공식 서포트 이메일로 문의 부탁드립니다. (support@klayswap.com)
6. 실제 자산 반환까지 완료되는 예상 시간은 신청된 지갑에서의 토큰 승인 해제 상태 확인, 신청 규모와 실제 규모의 비교, 유출된 토큰의 유형 등과 같은 내용 수집이 1차적으로 완료되야 하기에, 구체적 일정은 추가 공지를 통해 안내드리겠습니다.

클레이스왑의 개발사인 오지스는 이번 발생한 사고와 관련해서 선제적인 보상을 진행함으로써, 자산 유출로 인해 피해를 보신 분들이 겪을 불안과 고충을 우선적으로 해소시켜드리고자 합니다. 이 후 저희 오지스는 이번 사고와 관련된 정확한 문제 파악과 재발방지 계획을 수립해 나갈 것이며, 책임감 있는 블록체인 기업으로 더욱 안전하고 신뢰할 수 있는 탈중앙화 금융 생태계가 구축되도록 계속해서 힘쓰도록 하겠습니다.

감사합니다.

보상 가이드 링크: https://link.medium.com/9NeEXkAytnb
토큰 승인 해제 가이드 링크 : https://link.medium.com/5QSCJBCtmnb

안녕하세요 커뮤니티 여러분,

클레이스왑 토큰 승인 해제 안내 팝업은 [Token, LP, Single Deposit]에 해당하는 토큰 승인이 아직 해제되지 않은 경우 노출되고 있습니다.
토큰 승인 해제 완료 후 팝업 비노출 반영까지 일정 시간이 소요될 수 있으며, 토큰 승인을 모두 해제한 상태라면 이상 없이 클레이스왑을 이용하실 수 있습니다.
이용에 참고 부탁드립니다.

감사합니다.


Dear community users

The notification that pops-up in KLAYswap UI indicates the un-authorization of token approval will be repeatedly exposed if token approval corresponding to [Token, LP, Single Deposition] has not yet been un-authorized.
It may take a certain amount of time to reflect the non-exposure of the pop-up right after the token approval is unauthorized. After all un-authorization processes are completed, you can use KLAYswap without any further problems.
Please refer to this announcement when using KLAYswap.
Thank you for the understanding and consistent support on KLAYswap.

안녕하세요 커뮤니티 여러분
지난 2월 3일 발생한 사고와 관련하여 진행하는 토큰 보상 일정에 대해 공유드립니다.

보상 신청서 수집 기간 : 2022년 2월 8일 ~ 2022년 2월 21일

차주 월요일인 2022년 2월 21일까지 신청되는 내용을 토대로 보상이 진행 될 예정이며, 보상 수량 집행은 25일 전으로 완료를 목표로 하고 있습니다.

아직 신청서를 제출하지 않으셨거나 신청 정보에 이상이 있으신 경우 수집 기간 내 신청을 완료해주시길 부탁드리며, 확인 필요하신 사항들에 대해서는 공식 서포트 메일을 통해 문의 부탁드리겠습니다.
support@klayswap.com

22일 이후 신청되는 건들은 이후 보상 시점에 적용되는 점 참고 부탁드립니다.

감사합니다.


Hello community.
We share the token compensation schedule for the accident that occurred on February 3th.

Period of collection of compensation applications: From February 8 to February 21, 2022

Compensation will be carried out based on the application submitted by Feb 21, 2022, the next Monday, and the execution of the recompense is aimed at being completed by Feb 25, 2022.

If you haven't submitted your application or have any problems with the application information, please complete the application within the collection period. If you need to check, feel free to contact us through the official support email.
support@klayswap.com

Please note that the applications collected after Feb 22nd will be included in the next compensation TBD.

Thank you.

안녕하세요 클레이스왑 커뮤니티 여러분!

클레이스왑의 주요 업데이트 내용 및 유의사항 안내드립니다.

(1) 스테이킹 종료일 임박에 따른 안내 팝업 제공
- 자신의 스테이킹 종료 일시 전후 30일간 스테이킹 종료 임박 안내 팝업을 확인할 수 있습니다.
- 스테이킹 종료일시 30일 전부터 '연장하기' 버튼을 통해 스테이킹 연장이 가능합니다.
- 스테이킹 종료일시 +30일 동안 '언스테이킹' 또는 '연장하기'를 실행할 수 있습니다.
* 유의사항
재계약 기간(스테이킹 종료일시+30일) 내에 언스테이킹하지 않는 경우, 직전 계약에서 가장 장기간 선택했던 계약으로 자동 재계약되며, 재계약된 경우 중도 취소가 불가능합니다.

(2) 8x 스테이킹
- 8x 스테이킹은 지속적인 스테이킹을 통해 8배의 효율로 vKSP를 획득할 수 있는 기능으로, 그에 따라 KSP 스테이킹 보상, 드랍스 토큰 보상을 분배받습니다.
- 8배로 획득한 투표권을 활용해 풀 투표, Ecopot에 참여하여, 풀 거래 수수료, Ecopot 토큰, 드랍스 토큰까지 분배받을 수 있습니다.
- [스테이킹 연장 팝업, 스테이킹 팝업, 총 수익률 영역]의 '수익률 최대로 올리기' 버튼을 통해 8x 스테이킹 계약을 진행할 수 있으며, 해당 시점부터 계속해서 KSP 스테이킹을 진행합니다.
- [총 수익률] 영역의 '4배로 낮추기' 버튼을 통해 효율 조정이 가능하며, 효율이 조정된 시점부터 12개월 스테이킹 계약이 적용됩니다.
* 유의사항
8x -> 4x로 효율을 조정하는 경우, 획득 vKSP 수량 변경으로 인해 유저의 풀 투표, Ecopot에 할당된 투표권이 자동으로 전체 철회됩니다.
이때, 풀 투표 정책에 의해 유저가 투표한 풀 중 다음날 오전 09시 스냅샷 시점까지 투표 철회가 불가능한 풀이 있는 경우, 풀 투표 철회가 가능한 시점에 먼저 풀 투표를 철회한 후 4x로 변경이 가능합니다. (Ecopot 참여 내역은 4x 변경 시 영향을 미치지 않습니다.)
여러 번 스테이킹 하는 경우에도 스테이킹 건별이 아닌 전체 스테이킹 수량으로 종료일 계약이 진행되므로, 반드시 스테이킹 종료일시를 확인해주시기 바랍니다.

(3) Ecopot
- KSP 생태계 유저와 유동성과의 연결을 원하는 프로젝트는 KLAYswap 내에서 Ecopot 기능을 통해 vKSP 홀더에게 지속적으로 토큰 인센티브를 제공할 수 있습니다.
- 유저는 제공되는 Ecopot 풀 중 원하는 풀에 vKSP로 참여하여 그 풀 지분율에 따라 보상을 분배받습니다.
- Ecopot은 스냅샷에 관계없이 자유롭게 추가 투표, 철회가 가능합니다.

(4) 드랍스_보상 수령 가능일 표시
- 드랍스 별로 분배된 보상으로 지갑으로 수령(클레임)할 수 있는 일시가 표시됩니다.
- 드랍스 진행 프로젝트의 사정에 의해 드랍스 종료일과 보상수령 가능일에 차이가 있을 수 있으므로 드랍스 참여에 참고 부탁 드립니다.

안녕하세요 커뮤니티 여러분

지난 2월 3일 발생한 사고와 관련하여 진행하는 토큰 보상 일정에 대해 공유드립니다.

보상 신청서 수집 기간 : 2022년 2월 8일 ~ 2022년 2월 21일

차주 월요일인 2022년 2월 21일까지 신청되는 내용을 토대로 보상이 진행 될 예정이며, 보상 수량 집행은 25일 전으로 완료를 목표로 하고 있습니다.

아직 신청서를 제출하지 않으셨거나 신청 정보에 이상이 있으신 경우 수집 기간 내 신청을 완료해주시길 부탁드리며, 확인 필요하신 사항들에 대해서는 공식 서포트 메일을 통해 문의 부탁드리겠습니다.
support@klayswap.com

2월 22일 이후 신청되는 건들은 이후 보상 시점에 적용되는 점 참고 부탁드립니다.

감사합니다.


Hello community.
We share the token compensation schedule for the accident that occurred on February 3th.

Period of collection of compensation applications: From February 8 to February 21, 2022

Compensation will be carried out based on the application submitted by Feb 21, 2022, the next Monday, and the execution of the recompense is aimed at being completed by Feb 25, 2022.

If you haven't submitted your application or have any problems with the application information, please complete the application within the collection period. If you need to check, feel free to contact us through the official support email.
support@klayswap.com

Please note that the applications collected after Feb 22nd will be included in the next compensation TBD.

Thank you.