쉬운 비밀키 쓴 이더리움 지갑, 입금 12초 만에 자금 이동

숫자 ‘6969’를 비밀키로 쓴 이더리움 지갑에 약 1달러를 넣자 12초 뒤 자금이 이동했다. 입금 직후 다른 주소 세 곳에서 이 지갑을 향한 거래가 발생했고, 이 가운데 두 건은 실패했다.

“1달러가 들어오자마자 이를 훔치려는 거래 세 건이 대기 중이었다.” 오스틴 그리피스(Austin Griffith) 이더리움재단 개발 지원 담당자는 21일 녹화한 언체인드(Unchained)의 ‘Uneasy Money’에서 이렇게 말했다. 그는 단순한 비밀키를 사용한 지갑에 자금을 넣어 실험했다고 설명했다.

언체인드가 확인한 온체인 기록상 0.0004 ETH는 한국시간 22일 오전 5시 35분 지갑에 들어왔다. 같은 비밀키로 서명한 거래가 다음 블록에서 자금을 옮겼고, 입금액 대부분은 네트워크 수수료로 쓰였다.

입금 직후 다른 주소 세 곳에서도 이 지갑을 향한 거래가 발생했으며, 이 가운데 두 건은 실패했다. 기록만으로 각 거래를 보낸 사람이나 프로그램을 특정할 수는 없다.

비밀키는 지갑의 자금을 옮기는 거래에 서명할 때 쓰는 숫자다. 누구나 추측할 수 있을 만큼 단순한 값을 쓰면 다른 사람이 키를 알아내 자금을 옮길 수 있다.

언체인드는 1부터 255까지 숫자를 비밀키로 쓰는 이더리움 주소 255개를 조사했다. 모든 주소에서 과거 거래 기록이 확인됐지만, 거래가 있었다는 사실만으로 자금이 탈취됐다고 볼 수는 없다.

그리피스는 실험의 계기가 인도 인증기관 eMudhra의 비밀키 사고였다고 설명했다. eMudhra는 2025년 4월 생성한 중간 인증서 8개의 비밀키가 취약하다는 신고를 17일 받고, 이튿날 해당 인증서를 폐기했다고 밝혔다.

지갑과 웹 인증서는 쓰임새가 다르지만, 두 사례 모두 쉽게 알아낼 수 있는 비밀키의 위험을 보여준다. 인증서는 웹사이트의 신원을 확인하는 데 쓰이며, 지갑 비밀키는 자산을 이동하는 거래에 권한을 부여한다.

그리피스는 방송에서 10자리 숫자를 비밀키로 쓴 지갑의 자금은 “바로” 옮겨졌고, 12자리 지갑은 당시까지 자금이 옮겨지지 않았다고 말했다. 그는 14자리와 16자리 비밀키를 쓴 지갑에도 자금을 넣었다고 밝혔다.

언체인드는 첫 입금 약 14분 뒤 자금이 들어간 추가 주소 네 곳 가운데 한 곳에서 12초 만에 자금이 빠져나간 사실을 확인했다. 나머지 세 곳에는 23일까지 자금이 남아 있었지만, 각 주소에 어떤 길이의 비밀키가 쓰였는지는 확인하지 못했다.

그리피스와 방송 진행자들은 다음 주 14자리와 16자리 키의 자금이 옮겨졌는지 확인할 예정이다.