약 6억 달러 도난, 업토버가 해킹의 달로 불리다

2022년에는 암호화폐 해킹 피해가 잇따랐습니다. 분석 업체 Chainalysis는 10월 12일 기준으로 10월이 그해 들어 도난 금액이 가장 큰 달이 됐다고 밝혔습니다. 당시 집계는 연초 이후 30억 달러 이상, 10월 들어 11건의 DeFi 공격으로 7억 1,800만 달러였습니다. 이는 10월 전체가 아닌 그 시점까지의 수치입니다.

과거의 대형 암호화폐 해킹은 중앙화 거래소(CEX)를 겨냥하는 경우가 많았습니다. 2022년에는 DeFi 플랫폼과 블록체인을 연결하는 크로스체인 브리지가 주요 표적이 됐습니다. 해당 10월 집계에는 브리지 3곳에서 발생한 약 6억 달러 규모의 피해가 포함됐습니다. 솔라나 기반 DeFi 서비스 Mango Markets도 당시 주목받은 공격 사례였습니다.

솔라나 생태계에서 발생한 공격

암호화폐 업계와 솔라나 생태계에서는 이미 여러 보안 사고가 발생했습니다. 2022년 10월 11일 Mango Markets에서는 1억 달러가 넘는 자산이 유출됐습니다. 공격자는 거버넌스 토큰 MNGO의 시장 가격을 끌어올렸고, 가격 오라클이 이를 반영하자 자신의 포지션 가치가 부풀려진 점을 이용해 실질 담보가 부족한 대출을 받았습니다. 이는 애플리케이션의 가격 평가와 위험 관리 문제이며, 솔라나 기본 프로토콜 자체가 뚫렸다는 뜻은 아닙니다.

공격 후 약 24시간 동안 솔라나 DeFi 생태계의 총 예치 자산 가치(TVL)가 13억 2,000만 달러에서 약 10억 달러로 줄었다는 보도가 나왔습니다. 이 기사는 당시 약 9억 8,500만 달러라는 수치를 인용했습니다. 이 규모는 Mango Markets 한 곳의 예치금이 아니라 솔라나 생태계 전체에 관한 것입니다.

공격자는 Mango 커뮤니티에 조건부 반환 제안도 내놓았습니다. Mango DAO에 게시한 ‘Repay bad debt’라는 제안에서 공동 자금으로 보유한 약 7,000만 USDC를 사용해 회수하기 어려운 부실 채무를 메우도록 요구했습니다. 조건이 충족되면 MNGO와 SOL 등을 지정된 지갑으로 돌려주겠다는 내용이었습니다. 기사는 최초 제안이 거부됐다고 설명하지만, 이후 별도로 협상된 일부 자산 반환 합의까지 모두 거부됐다는 의미로 읽어서는 안 됩니다.

그보다 앞선 2022년 8월에는 솔라나 지갑 수천 개에서 수백만 달러의 자산이 유출됐습니다. 초기 보도는 Phantom 지갑 등을 포함해 약 8,000개가 영향을 받았다고 전했습니다. 솔라나 재단은 Slope 앱에서 유출된 개인 키와, 해당 복구 문구를 다른 지갑에서 재사용하거나 가져온 행위를 사고 원인과 연결했습니다. 솔라나 프로토콜 자체의 취약점은 발견되지 않았으며, 지갑 가져오기 기능 일반의 결함으로 단정할 수 없습니다.

BNB Chain도 공격을 받다

Binance 생태계와 관련된 BNB Chain 역시 2022년 10월 공격을 받았습니다. BSC Token Hub 브리지의 취약점으로 승인되지 않은 BNB 200만 개가 생성됐으며, 당시 가치는 5억 달러를 넘었습니다. 전액이 네트워크 밖으로 반출된 것은 아니고 중앙화 Binance 거래소에서 같은 금액이 도난당한 사건도 아닙니다. BNB Chain의 설명에 따르면 검증인은 총 44곳이었고 그중 26곳이 활성 검증인이었습니다. 운영진은 활성 검증인들과 연락해 BNB Smart Chain을 일시 정지시켰습니다. 이러한 정지 조율이 가능하다는 점은 중앙화 논쟁으로 이어졌습니다.

악의적인 공격자는 다양한 수법을 사용합니다. 일부는 사회공학을 이용해 사용자를 속이고 기밀 정보를 내놓게 합니다. 사용자가 직접 정보를 입력했다고 해서 위험을 알고 동의했다는 뜻은 아닙니다. 다른 공격은 정교한 기술과 상당한 사전 준비를 필요로 합니다.

암호화폐 해킹 위험을 줄이는 방법

해킹은 프로젝트 운영진과 최종 사용자 모두에게 큰 피해를 줄 수 있습니다. 공격자는 도구와 수법을 계속 발전시키며 새로운 취약점을 찾습니다.

특히 스마트 계약을 대상으로 한 철저하고 독립적인 코드 보안 감사는 개발자가 취약점을 조기에 찾아 수정하는 데 도움이 됩니다. 사용자에게 기본 과정부터 심화 과정까지 암호화폐 보안 교육을 제공하면 사회공학 수법을 알아보고 일부 피해를 줄이는 데에도 도움이 됩니다. 다만 감사나 교육만으로 모든 공격을 막을 수는 없습니다.

API 키, 외부 데이터와 블록체인 오라클의 보안도 중요합니다. FTX 사용자에게 발생한 당시의 피해는 API 정보를 노린 피싱과 관련된 사례로, Mango Markets의 가격 조작과 같은 방식의 공격은 아닙니다. Mango 사건에서는 시장 가격과 가격 오라클을 이용한 평가, 대출 위험 관리의 약점이 악용됐습니다. 탈중앙화된 데이터 공급과 검증은 단일 장애 지점의 위험을 줄일 수 있지만, 데이터가 온체인에 기록됐다는 이유만으로 정확성이 보장되거나 해킹이 불가능해지는 것은 아닙니다. Web3 인프라에도 견고한 오라클, 접근 통제와 위험 관리가 필요합니다.