Nomad 해킹 0분 만에 탐지한 Rule-based 이상 징후 분석 시스템 Heimdall

Context

기존 Forta, OpenZeppelin Defender와 같은 범용 모니터링 도구의 Bridge 특화 Heuristics 부재로 인한 탐지 지연 및 높은 False-positive 발생. 대규모 자산이 예치된 Cross-chain Bridge의 구조적 취약점 대비 실시간 대응 체계의 미비함.

Technical Solution

• Black box ML 모델을 배제하고 Exploit 패턴에 직접 매핑되는 Rule-based Detection Engine 설계
• 단일 인출금이 설정된 TVL 비율을 초과할 때 작동하는 large-fill 로직을 통한 초기 공격 감지
• 특정 Rolling Time Window 내 N번의 대규모 인출 발생 시 작동하는 rapid-drain 로직으로 Copycat 공격 대응
• 모든 체인의 Fill 합계가 Deposit 합계를 설정 배수 이상 초과하는 imbalance 로직으로 비정상 자금 유출 식별
• RPC 데이터 인덱싱을 통한 실시간 TVL, Mint/Burn Flow, Transaction 패턴 모니터링 체계 구축
• 코어 로직 수정 없이 설정 파일 변경만으로 신규 Bridge를 추가할 수 있는 확장 구조 채택