AFX·Verus 브릿지 연쇄 해킹 — 네이티브는 안전한데 왜 털렸을까

하루 사이에 3,500만 달러가 넘는 자산이 유출되는 크로스체인 브릿지 해킹 사고가 잇따라 발생했습니다. AFX Trade와 Verus 브릿지가 연이어 공격을 받으면서 혹시 이더리움이나 아비트럼 네트워크 자체에 문제가 생긴 건 아닐까 걱정하시는 분들도 계실 텐데요. 이번 사건의 핵심 팩트와 함께, 왜 메인 블록체인이 아닌 '중간 미들웨어'에서 이런 일이 반복되는지 알기 쉽게 정리해 드릴게요.

AFX Trade의 2,415만 달러 유출: 키 관리의 허점

가장 큰 피해를 입은 곳은 아비트럼 기반의 탈중앙화 선물 거래소인 AFX Trade입니다. 자체적으로 운영하던 자산 보관용 브릿지에서 2,415만 달러 상당의 USDC가 빠져나가는 사고가 발생했는데요. 원인을 들여다보면 블록체인 자체의 기술적 결함이 아니라, 운영진의 관리 소홀에 가까운 '키 유출'이 문제였습니다.

이 브릿지는 자산을 출금할 때 외부 검증인 7명 중 5명 이상의 서명을 얻어야 하는 구조였습니다. 하지만 공격자가 이 서명 키들을 손에 넣으면서 너무나 쉽게 정족수를 채웠고, 정상적인 출금인 것처럼 위장해 자산을 빼돌린 것이죠. 탈취된 자산은 곧바로 이더리움 네트워크로 넘어가 이더리움 12,467개로 환전되었습니다.

여기서 꼭 짚고 넘어가야 할 사실이 있습니다. 많은 분이 아비트럼 네트워크 자체가 뚫린 것 아니냐며 불안해하셨지만, 아비트럼의 공식 네이티브 브릿지는 아무런 영향 없이 안전하게 작동하고 있었습니다. 오직 프로젝트가 독자적으로 만들어 쓰던 개별 브릿지의 보안망에 구멍이 뚫린 셈입니다. 현재 AFX 측은 브릿지를 일시 중단하고 탈취범에게 전체 금액의 30%에 달하는 현상금을 제안하며 자금 회수를 시도하고 있습니다.

베루스 브릿지: 코드 빈틈으로 발생한 자산 유출

AFX 사건이 터지고 불과 몇 시간 뒤, 베루스(Verus)와 이더리움 간의 브릿지에서도 약 754만 달러 규모의 해킹 사고가 일어났습니다. 이번 사건은 앞서 언급한 AFX 사건처럼 관리자의 키를 탈취당한 키 유출 사고가 아니라, 스마트 컨트랙트 코드 자체의 허점이 원인이었습니다.

해커가 파고든 틈새는 생각보다 단순했습니다. 원래 크로스체인 브릿지는 한쪽 체인에 자산을 안전하게 입금했다는 사실이 검증되어야만 반대편 체인에서 그에 맞는 자산을 내어주도록 설계됩니다. 하지만 공격자는 이 입금 검증 단계의 논리 오류를 악용하여, 실제 자산을 전혀 입금하지 않고도 이더리움 쪽에 예치되어 있던 자산을 인출해 나갔습니다.

안타까운 점은 이 브릿지가 이미 지난 5월에도 비슷한 입금 검증 오류로 약 1,158만 달러의 피해를 입었다는 사실입니다. 보안 패치와 사후 관리가 조금만 더 철저했다면 동일한 유형의 피해를 막을 수 있었기에, 프로젝트의 보안 의식을 두고 커뮤니티에서도 짙은 아쉬움을 나타내고 있습니다.

네이티브 브릿지는 안전하다: 범인은 '미들웨어'

흔히 브릿지 해킹 소식이 들리면 아비트럼이나 이더리움 같은 블록체인 네트워크 자체에 문제가 생긴 것은 아닌지 덜컥 겁이 나곤 합니다. 하지만 실상은 전혀 다릅니다. 비유하자면, 우체국 택배 상자는 아주 튼튼하고 안전한데 중간에 물건을 옮기던 사설 배송 대행사에 구멍이 뚫린 셈이거든요.

아비트럼의 공식 네이티브 브릿지는 이번에도 아무런 피해 없이 안전하게 작동하고 있었습니다. 진짜 범인은 공식 경로가 아니라, 프로젝트들이 자체적으로 빌드한 미들웨어 브릿지였습니다. 해커들은 보안이 극도로 튼튼한 블록체인 본체를 공격하기 어렵다는 걸 알기 때문에, 상대적으로 허점이 많은 사설 검증 시스템을 집중적으로 노립니다.

이러한 보안 위협 때문에 최근 업계에서는 서클의 크로스체인 전송 프로토콜(CCTP)처럼 자산 발행사가 직접 지원하는 네이티브 전송 기술을 주목하고 있습니다. 복잡한 중간 검증인이나 미들웨어를 거치지 않고 자산을 안전하게 이동시킬 수 있기 때문입니다.

국내 시장과 규제에 미칠 영향

이번 연쇄 해킹 사건은 자체적으로 구축한 외부 미들웨어 브릿지가 보안에 얼마나 취약할 수 있는지 다시 한번 일깨워 주었습니다.

이 때문에 안 그래도 안정성을 최우선으로 두는 국내 금융당국과 은행권은 허가 없는 퍼블릭 브릿지 도입에 더욱 신중해질 것으로 보입니다. 앞으로 국내 기관들은 보안 리스크가 큰 제3자 브릿지 대신, 고도로 통제된 프라이빗 결제 네트워크나 서클의 CCTP처럼 검증된 네이티브 전송 표준을 우선적으로 검토할 가능성이 높습니다.

우리 역시 블록체인 간에 자산을 옮길 때 공식 네이티브 브릿지를 이용하고 있는지, 아니면 별도로 빌드된 개별 프로젝트의 브릿지를 거치는지 한 번 더 확인해보는 습관을 들이면 좋겠습니다.