Nexus V1 익스플로잇과 커지는 경계선(Perimeter)에 대한 관심

오늘 일찍, 비트코인 유동성 프로토콜인 On Nexus(구 DotSwap)는 공격자가 레거시 V1 멀티시그 풀에서 8.5 BTC(약 68만 5,000달러)를 탈취했다고 밝혔습니다. 팀은 이번 침해가 레거시 서버 측 서명 검증 결함에서 비롯되었음을 확인했으며, 셀프 커스터디 지갑과 최신 컨트랙트는 영향을 받지 않았다고 전했습니다. 이에 대응하여 On Nexus는 V1을 영구적으로 중단했으며, 블록체인 보안 업체인 SlowMist와 협력하여 탈취된 자금 추적 및 회수를 시도하고 있습니다.

8.5 BTC 손실은 과거 사이클의 수백만 달러 규모 크로스체인 브릿지 해킹에 비하면 제한적인 수준이지만, 이번 사건은 프로토콜 커스터디가 어디서 시작되고 어디서 끝나는지에 대해 빌더 커뮤니티 전반에서 중요한 논의를 다시 불러일으켰습니다. 이번 취약점은 온체인 비트코인 스크립트 오류가 아니라, 플랫폼의 이전 버전에서 발생한 오프체인 서버 측 멀티시그 처리 문제에서 기인했습니다.

커스터디 딜레마와 규제 경계선

이번 사건은 탈중앙화 서비스에 대한 규제 당국의 적극적인 재검토가 이루어지는 가운데 발생했습니다. 불과 며칠 전, 영국 금융행위감독청(FCA)은 금융서비스시장법(Financial Services and Markets Act) 규제 경계선에서 특정 항목을 제외하는 내용을 담은 협의안 CP26/36을 발표했습니다. FCA의 초안 가이드라인에 따르면, 순수하게 탈중앙화된 기술 서비스와 특정 자동화된 결제 메커니즘은 고객 자금에 대한 커스터디 통제나 재량적 관리를 행사하지 않는 경우 직접적인 인가 요건에서 제외될 수 있습니다.

On Nexus의 이번 침해는 규제 당국이 왜 그토록 명확한 선을 긋고 있는지 잘 보여줍니다. 플랫폼이 커스터디용 멀티시그 키나 서버 측 승인 게이트웨이를 유지하는 경우, 이는 순수한 탈중앙화 소프트웨어라기보다 중개자에 가깝게 운영되기 때문입니다. 커뮤니티 대화에서 개발자들은 레거시 브릿지와 초기 AMM 설계 방식이 유동성 부트스트랩을 위해 하이브리드 커스터디 방식을 유지하는 경우가 많았으며, 이것이 익스플로잇의 매력적인 타겟인 동시에 규제 당국의 명확한 감시 대상이 되었다고 지적했습니다.

커뮤니티 여론과 향후 주목할 점

사용자의 셀프 커스터디 자금은 노출되지 않았고, On Nexus가 구형 V1 풀을 신속하게 폐기했기 때문에 커뮤니티 반응은 비교적 차분한 편입니다. 하지만 유동성 공급자들은 이번 사건을 통해 자신의 자산이 실제로 어디에 보관되어 있는지 점검해야 한다는 점을 다시금 상기하고 있습니다. 구형 스마트 컨트랙트나 하이브리드 설정을 계속 운영하는 것은 시간이 지남에 따라 복합적인 기술적, 규제 준수 위험을 초래할 수 있습니다.

빌더와 사용자 모두에게 당면한 초점은 SlowMist가 추적 중인 8.5 BTC의 회수 가능성 여부입니다. 더 넓게 보면, FCA의 경계선 제외 관련 협의 기간을 통해 진정한 비커스터디 도구와 하이브리드 커스터디 설정을 어떻게 구분할지 가늠해 볼 수 있을 것입니다. 여전히 레거시 중앙화 서명 서버에 의존하는 플랫폼들은 앞으로 사용자들과 규제 당국 양측으로부터 이를 완전히 폐기하라는 압박을 받게 될 것으로 보입니다.