큐빅(Qubic)이 지갑 1404개에서 약 140만달러(약 18억6000만원) 상당의 QU 토큰이 빠져나간 사고 뒤 블록체인을 재가동하고 피해 복구 절차에 들어갔다. 피해 이용자는 2027년 5월 1일까지 청구를 접수할 수 있다.
큐빅 블록체인 탐색기에 따르면 네트워크는 19일 틱(tick) 처리를 재개해, 일요일인 18일 중단된 85,371,949번 틱을 넘어섰다. 검증자 역할을 하는 컴퓨터(Computors)가 복구 계획을 승인했고, 큐빅은 피해 지갑 보유자를 위한 청구 플랫폼을 열었다. 이용자는 이 플랫폼에서 자신의 주소가 피해 대상인지 조회한 뒤 청구를 제출하면 된다.
코인텔레그래프는 이번 사고가 취약한 지갑 소프트웨어에서 생성된 예측 가능한 시드와 관련됐다고 보도했다. 시드(seed)는 지갑 주소와 개인키를 만들어내는 출발값으로, 예측할 수 있으면 제3자가 같은 지갑을 재현할 수 있다. 일부 애플 기기와 브라우저에서 큐빅 웹 지갑으로 시드를 만들 때 안전하지 않은 난수 생성기가 쓰였고, 그 결과 예측 가능한 시드가 만들어졌다. 공격자는 이 점을 노려 계정을 비웠고, 네트워크는 탈취 자금의 추가 이동을 막으려고 18일 멈춰 섰다.
블록체인 보안업체 슬로우미스트(SlowMist)는 큐빅 지갑이 암호학적으로 안전하지 않은 Math.random() 함수로 계정 시드를 만든다고 지적했다. 슬로우미스트는 공격자가 네트워크를 6차례 관측하면 개인키를 복구할 수 있다고 주장했다.
패치 이후 상황에 대해서는 디파이언트(The Defiant)가 4.26.4 패치는 신규 계정 시드를 노출된 난수 스트림과 분리하지만 헤더 생성 방식은 그대로 둔다고 전했다. 큐빅은 시드 생성 결함을 최신 웹 지갑에서 고쳤다고 18일 밝혔다.
큐빅은 20일 이용자 행동 지침을 다시 내놨다. 큐빅은 "4.26.4 버전(19일 배포) 이전의 웹 지갑으로 만든 지갑은 자금이 건드려지지 않았더라도 안전하지 않은 것으로 취급해야 한다"고 밝혔다. 이어 "웹 지갑 4.26.4 이상으로 업데이트한 뒤 새 지갑을 만들고, 가능한 한 빨리 자금을 옮기며, 기존 지갑은 다시 쓰지 말라"고 당부했다.
<저작권자 ⓒ TokenPost, 무단전재 및 재배포 금지>
많이 본 기사