572만 달러 현금화, 코스모스 EVM 6개 체인 공격

코스모스 랩스(Cosmos Labs)가 8월 20일부터 25일까지 6개 코스모스 EVM(Cosmos EVM) 네트워크가 취약점 공격을 받았고, 공격자가 약 572만 달러(약 79억원)를 현금화했다고 밝혔다.

우블록체인(Wu Blockchain)은 코스모스 랩스의 사고 복기 내용을 전하며 공격자가 영향을 받은 자산 약 287만 달러(약 40억원)를 브리지로 옮긴 뒤 탈중앙거래소에서 교환했고, 별도 자산 약 285만 달러(약 39억원)를 중앙화거래소에서 매도했다고 보도했다. 관련 중앙화거래소 계정은 현재 동결돼 조사 절차를 기다리고 있다.

이번 취약점은 v0.6.2 또는 v0.7.2 미만의 코스모스 EVM 버전에 영향을 준 것으로 정리됐다. 코스모스 EVM은 코스모스 SDK 기반 체인이 이더리움(ETH)식 스마트컨트랙트 실행 환경을 붙일 수 있게 하는 모듈이다.

같은 모듈을 여러 체인이 쓰는 구조에서는 한 취약점이 독립 네트워크 여러 곳으로 번질 수 있다. 체인별 운영 주체와 검증자 집합이 달라도 공유 실행 계층의 결함은 자산 이동, 블록 생성, 입출금 대응으로 이어질 수 있다.

이번 사고는 코스모스 EVM 모듈에서 발생한 보안 사고에 따른 체인 중단 권고의 후속 사안이다. 코스모스 랩스는 당시 영향을 받은 체인에 검증자들이 체인 운영을 멈추도록 요청하라고 권고했다.

이후 구버전 체인에 패치 업그레이드 권고가 내려졌다. 적용 기준은 v0.6.2 또는 v0.7.2 미만 버전으로 제시됐다.

개별 체인에서도 피해가 드러났다. 만트라체인(MANTRA Chain)은 8월 20일 사고 복기에서 상위 의존성인 cosmos/evm 잔액 회계 계층의 '부호 없는 정수 언더플로' 취약점이 이용됐다고 밝혔다.

공격자는 특권 접근 없이 소각 주소와 제네시스 시기 다중서명 주소에서 7억2092만3967.99개의 만트라(MANTRA)를 옮긴 것으로 설명됐다. 해당 내용은 본지가 앞서 보도한 만트라체인 보안 사고의 후속 정리와도 이어진다.

부호 없는 정수 언더플로는 계산 결과가 허용 범위 아래로 내려갈 때 값 처리에 오류가 생기는 취약점이다. 잔액 회계 계층에서 이런 문제가 발생하면 실제 권한이 없는 자산 이동처럼 치명적인 결과로 번질 수 있다.

코스모스 랩스는 이번 취약점이 과거 버그바운티 프로그램을 통해 제보됐을 때 생산 네트워크 사용자 자금에 위협이 되지 않는다고 잘못 판단했다고 인정했다. 회사는 핵심 취약점 등급 분류와 공개 절차를 개선하겠다고 밝혔다.

버그바운티는 외부 연구자가 취약점을 제보하고 보상을 받는 보안 점검 방식이다. 다만 제보 이후 위험 등급을 어떻게 매기고 어느 범위까지 공개·패치하느냐에 따라 실제 사고 차단 여부가 달라진다.

이번 사건의 직접 피해자는 영향을 받은 코스모스 EVM 체인과 해당 체인의 사용자다. 중앙화거래소 계정 동결은 일부 자금 추적의 출발점이지만, 실제 회수 규모와 각 체인별 최종 손실은 조사 결과에 따라 달라질 수 있다.

한국 독자에게는 코스모스(ATOM) 자체 가격 흐름보다 공유 모듈 보안과 거래소 입출금 대응이 핵심 쟁점이다. 국내 거래소가 관련 자산 입출금 정책을 조정할 경우 이용자는 체인별 공지와 거래소 안내를 함께 확인해야 한다.

코스모스 랩스가 제시한 다음 절차는 취약점 등급 분류와 공개 절차 개선이다. 영향을 받은 체인별 최종 피해 규모와 자금 회수 여부는 중앙화거래소 계정 조사와 각 네트워크의 후속 사고 보고서에서 구체화될 예정이다.