6만5340개 위험주소, 손실 5억7480만달러 추산

이더리움과 BNB체인에서 주소 오용으로 분류된 고위험 주소 6만5340건이 확인됐고, 관련 손실은 5억7480만 달러(약 8145억원) 이상으로 추산됐다. 피해의 핵심은 스마트컨트랙트 취약점보다 주소 재사용, 개인키 노출, 체인 혼동 같은 기본 관리 실패에 있었다.

USENIX Security ’26 채택 논문 ‘Lost in Blockchain Address Misuse: Hidden Cross-Platform Risks and Their Security Impact’는 깃허브 저장소 6만3004개와 스택 익스체인지 데이터를 분석해 이 같은 결과를 제시했다. 연구진은 고유 주소 1031만2572개와 중복 제거 개인키 1630만5399개를 추려 이더리움(ETH)과 BNB체인 거래를 대조했다.

논문은 주소 오용을 크게 CA 오용과 EOA 오용으로 나눴다. CA 오용은 컨트랙트가 아닌 주소를 컨트랙트 주소처럼 다루는 경우이고, EOA 오용은 개인키가 노출된 외부소유계정과 상호작용하면서 발생하는 경우다.

CA 오용은 4만9344건, EOA 오용은 1만5996건으로 집계됐다. 손실 규모는 CA 오용에서 2만2738.41 ETH와 8681.41 BNB, EOA 오용에서 10만4244.53 ETH와 9045.29 BNB였다.

전체로는 거래 250만건, 손실 12만6982.94 ETH와 1만7726.7 BNB다. 연구진은 2025년 5월 가격인 ETH 4408달러, BNB 847달러를 적용해 전체 손실을 5억7480만 달러 이상으로 환산했다.

이 수치는 당시 거래 시점의 피해액이 아니다. 연구진은 같은 기준 가격으로 현재 경제적 심각성을 비교하기 위한 표준화 지표라고 설명했다. 분석 범위가 EVM 계열과 네이티브 토큰 중심인 만큼 결과는 보수적 하한선에 가깝다고 봤다.

새로 제시된 공격 벡터도 분리해 볼 필요가 있다. 하나는 테스트넷과 메인넷의 주소 재사용을 노린 CA 오용이다. 공격자는 테스트넷에서 쓰인 주소와 같은 메인넷 주소에 악성 계약을 심어 갇힌 자금을 빼냈고, 469건에서 3446.37 ETH와 431.79 BNB 손실이 확인됐다.

다른 하나는 EIP-7702를 이용한 EOA 오용이다. 노출된 EOA를 악성 계약에 위임하게 만들어 들어오는 자금을 즉시 빼내는 방식이다. 이 유형은 1만7270건, 25.86 ETH와 33.45 BNB 손실로 집계됐다.

크립토슬레이트(CryptoSlate)는 두 신규 벡터의 직접 손실을 약 1570만 달러(약 222억원)로 따로 집계했다. 이는 전체 추정치 5억7480만 달러와 다른 범위의 수치로, 새 공격 벡터에서 직접 관측된 활성 공격분만 떼어 본 것이다.

논문이 겨냥한 지점은 해킹 한 건이 아니다. 공개 저장소의 샘플 코드, Q&A에 남은 키, 테스트넷과 메인넷 혼동, 체인별 주소 충돌이 실제 자금 손실로 이어지는 구조다.

통상 블록체인 보안 논의는 스마트컨트랙트 코드 결함과 브리지 침해에 집중돼 왔다. 이번 연구는 컨트랙트 밖에서 발생하는 주소·키 관리 실패도 온체인 손실의 독립된 축이라는 점을 부각했다.

개발자가 예시 주소를 그대로 남기거나 사용자가 비공식 출처의 주소를 복사하는 행위도 보안 리스크로 이어질 수 있다. 체인마다 같은 형식의 주소를 쓰는 환경에서는 사용자가 의도한 네트워크와 실제 전송 네트워크가 어긋날 여지도 커진다.

연구진은 지갑 사업자와 거래소에 책임 있는 공개 절차를 진행했다고 밝혔다. 대응책으로는 지갑 단의 경고, 잘못된 체인 전송 경고, 주소 생성 과정에 체인 ID를 포함하는 프로토콜 개선이 제시됐다.

이 연구는 국내 이용자에게도 지갑 주소 확인과 체인 선택 절차의 중요성을 다시 보여준다. 중앙화 거래소에서 출금 네트워크를 고르거나 개인 지갑에서 주소를 붙여 넣는 과정이 실제 자산 손실과 연결될 수 있기 때문이다.

USENIX 공개 페이지에서도 이 연구는 USENIX Security ’26 채택 논문으로 올라와 있다. 향후 논문 발표와 업계 대응 과정에서 지갑 경고 체계와 체인 식별 방식 개선 논의가 이어질 예정이다.

검증 출처: USENIX 채택 논문 페이지, 논문 원문