AFX 트레이드 해킹, 336억원 200초 만에 빠져나간 진짜 이유

AFX 트레이드 해킹의 진짜 원인은 아비트럼(Arbitrum) 네트워크 자체의 결함이 아니었다. 아비트럼 위에서 돌아가는 무기한선물 분산거래소(DEX) AFX 트레이드가 자체적으로 운영하던 브릿지의 검증인(validator) 서명키 5개가 공격자 손에 넘어간 것이 전부였다. 이 서명키만으로 출금 승인이 통과되면서, 2415만 달러 상당의 USDC, 우리 돈으로 약 336억원이 단 200초 만에 빠져나갔다.

AFX 트레이드 해킹, 200초 동안 벌어진 일

사고는 지난 7월 22일 밤(현지시간 21시 30분, 한국시간 23일 오전 6시 30분경) 시작됐다. 보안 업체 블록에이드(Blockaid)가 AFX가 운영하는 브릿지에서 비정상적인 출금 요청을 처음 포착했다. 이 브릿지는 정상적으로도 검증인 5곳의 서명을 모으면 출금이 승인되는 구조였는데, 문제는 공격자가 이 5개 서명을 모두 확보해버렸다는 점이다.

브릿지에는 이상 거래를 걸러낼 수 있는 약 200초의 이의제기(dispute) 시간이 마련돼 있었지만, 그 짧은 시간 동안 누구도 문제를 제기하지 못했다. 결국 200초가 지나자마자 2415만 달러 상당의 USDC가 브릿지 컨트랙트를 그대로 빠져나갔다. 공격자는 탈취한 자금을 아비트럼에서 이더리움 네트워크로 옮긴 뒤 약 1만2467.5 ETH로 바꿔 특정 지갑 주소로 옮겨뒀다.

AFX 팀은 사고 직후 문제가 된 브릿지 운영을 즉시 중단시켰다. 그리고 공격자에게 이례적인 제안을 공개적으로 내놨다. 탈취 자금의 70%를 돌려주면 나머지 30%(약 100억원 상당)는 “화이트햇 바운티”로 인정하고 문제 삼지 않겠다는 협상이었다. 자금 회수 확률을 조금이라도 높이려는 크립토 업계의 익숙한 대응 방식이다.

“아비트럼이 뚫렸다”는 오해, 사실이 아니다

이번 사고가 알려지자 SNS에서는 “아비트럼이 해킹당했다”는 식의 오해가 빠르게 퍼졌다. 하지만 아비트럼 개발사 오프체인 랩스(Offchain Labs)의 스티븐 골드페더 CEO가 직접 나서서, 아비트럼의 네이티브 브릿지는 이번 사고와 전혀 무관하며 정상 작동 중이라고 못 박았다.

이번에 뚫린 것은 AFX 트레이드가 자체적으로 만들어 운영하던 별도의 서드파티 브릿지였다. 겉으로는 “아비트럼 생태계 안에서 일어난 일”이라 같은 사고처럼 보이지만, 실제로는 완전히 다른 두 개의 시스템이다. 아비트럼처럼 이미 수년간 검증받은 대형 네트워크의 네이티브 브릿지와, 개별 프로젝트가 자체 구축한 브릿지는 보안 검증 수준이 근본적으로 다를 수밖에 없다. 이번 사고는 그 차이를 극명하게 보여준 사례다.

공교롭게도 같은 날인 7월 23일에는 다른 디파이 프로토콜에서도 별도의 익스플로잇이 두 건 더 발생해, 업계에서는 이날을 두고 “해커의 날”이라 부를 정도로 크립토 보안 사고가 몰렸다. AFX 트레이드 건은 그중에서도 피해 규모가 가장 컸다.

브릿지 이용자가 지금 구분해서 확인할 것

• 지금 쓰는 브릿지가 해당 체인이 직접 운영하는 “네이티브 브릿지”인지, 아니면 개별 프로젝트가 따로 만든 “서드파티 브릿지”인지부터 구분해서 확인한다.
• 서드파티 브릿지를 이용 중이라면, 운영 주체가 보안 감사(오딧)를 받았는지, 검증인 구성이 몇 곳으로 얼마나 분산돼 있는지 공식 문서나 깃허브 저장소에서 확인한다.
• 큰 금액을 한 번에 옮기기보다, 필요하다면 여러 번에 나눠 이체하는 방식도 리스크 분산에 도움이 된다.
• 사고 소식을 접했다면 반드시 프로젝트의 공식 트위터(X)·디스코드 채널로만 후속 조치를 확인한다. 이런 사고 직후에는 가짜 “환불 신청” 사이트나 피싱 링크가 함께 퍼지는 경우가 많다.

Q&A로 정리하는 AFX 트레이드 해킹

Q. 내가 아비트럼에서 다른 서비스를 쓰고 있다면 위험한가요?
아비트럼 네트워크 자체나 네이티브 브릿지는 이번 사고와 무관하다고 공식 확인됐다. 다만 AFX 트레이드에 직접 자산을 예치했거나 해당 브릿지를 이용했다면 영향을 받았을 수 있어 AFX 공식 공지를 확인해야 한다.

Q. 서명키 5개가 왜 그렇게 쉽게 뚫렸나요?
정확한 침해 경로는 아직 조사 중이다. 다만 검증인 서명키 여러 개를 한 주체가 관리하거나, 키 보관 방식이 충분히 분산되지 않았을 가능성이 지적되고 있다.

Q. 피해자는 돈을 돌려받을 수 있나요?
AFX가 70%를 돌려받는 조건으로 30%를 눈감아주겠다고 제안한 상태이며, 공격자의 수락 여부는 이 글 작성 시점 기준 공식적으로 확인되지 않았다.

시사점

브릿지는 여전히 디파이에서 가장 많은 자금이 새는 지점이다. 2022년 로닌 브릿지 사고 이후로도 검증인 키 탈취로 인한 브릿지 익스플로잇은 매년 반복돼 왔다. “탈중앙화”를 표방하는 서비스라 해도, 실제 자금 인출 승인 권한이 소수의 검증인 키에 몰려 있다면 그 키가 곧 가장 매력적인 공격 목표가 된다는 점을 이번 사고가 다시 보여줬다. 어떤 체인 위에서 돌아가는 서비스인지보다, 그 서비스가 자금 이동을 승인하는 구조를 누가, 몇 명이, 어떻게 관리하는지를 따져보는 습관이 필요하다.

Jett Insight는 매일 아침 새로운 IT·보안 소식을 정리해 전해드립니다.

출처

• AFX Trade Bridge Exploit Drains $24.15M USDC on Arbitrum – NFT Plazas
• Arbitrum protocol AFX Trade hit by $24 million bridge exploit: Blockaid – The Block
• Arbitrum-based AFX Trade drained of $24 million after bridge keys compromised – CoinDesk
• AFX Trade drained of $24M, offers hacker 30% bounty to return stolen funds – Crypto Briefing
• Arbitrum Perp DEX AFX Trade Drained of $24M, Offers Hacker 30% to Return It – Decrypt
• Crypto’s ‘Hackers Day’: AFX Trade Hit for $24M, Losses Reach $35.55M – Crypto Times