에이다(ADA) 지갑 서비스 ‘세컨드파이(SecondFi)’가 취약점 악용 공격으로 약 1610만 ADA(약 24만 달러, 한화 약 35억 원)가 탈취되면서 결국 서비스 종료 수순에 들어갔다.
이번 사고는 카르다노(Cardano) 생태계 지갑 보안에 경고를 던지는 동시에, ‘거래 서명 구조’의 취약성이 얼마나 치명적일 수 있는지를 드러낸 사례로 평가된다.
세컨드파이는 트랜잭션 서명 소프트웨어의 결함이 공격에 활용됐으며, 총 374개 지갑에서 1610만 에이다(ADA)가 유출됐다고 밝혔다.
해당 취약점은 블록체인에 공개된 거래 데이터만으로 ‘개인 키 일부’를 유추할 수 있게 만드는 구조적 문제였다. 공격자는 이를 통해 지갑 접근 권한을 탈취할 수 있었다.
다만 카르다노 네트워크 자체는 침해되지 않았으며, 하드웨어 지갑 사용자는 이번 공격의 영향을 받지 않았다.
세컨드파이는 취약점 패치 이후 추가 피해를 막기 위해 선제적으로 약 1억2900만 ADA를 보호 조치했다.
그럼에도 불구하고 서비스는 정상 운영으로 복귀하지 않기로 결정했다. 해당 서비스는 카르다노 개발사 이뮤르고(EMURGO)의 ‘요로이(Yoroi)’ 지갑을 대체하기 위해 출시된 바 있다.
결국 신뢰 훼손과 보안 리스크를 감당하기 어렵다고 판단한 것으로 해석된다.
이뮤르고가 고용한 블록체인 분석 기업 ‘그룸 레이크(Groom Lake)’는 이번 공격이 상당히 정교하고 자금력이 뒷받침된 주체에 의해 수행됐다고 밝혔다.
일부 정황은 북한 해킹 조직 ‘라자루스 그룹(Lazarus Group)’을 가리키지만, 현재까지 공식적인 귀속(attribution)은 확인되지 않았다.
또한 동일 기간 동안 별도의 공격자가 또 다른 지갑 그룹을 노린 정황도 포착됐다.
세컨드파이는 오는 8월 초 지갑 내 자산을 외부로 옮길 수 있는 ‘내보내기(export) 도구’를 출시할 예정이다. 이어 같은 달 말에는 ‘영지식 증명(Zero-Knowledge)’ 기반 복구 포털도 공개할 계획이다.
이뮤르고 측은 별도의 자산 회수용 지갑을 마련해 지원에 나섰지만, 실제 피해 보상 시점은 아직 정해지지 않았다.
이번 사건은 에이다(ADA) 및 카르다노 생태계 전반에 ‘지갑 보안’ 리스크를 다시 부각시키는 계기가 됐다. 특히 사용자 단말이 아닌 ‘서명 로직’에서 발생한 취약점이라는 점에서 향후 유사 서비스 전반에 대한 점검 필요성이 커지고 있다.
시장에서는 향후 복구 진행 상황과 보상 여부에 따라 에이다(ADA)에 대한 투자 심리도 영향을 받을 가능성이 크다는 분석이 나온다.
<Copyright ⓒ TokenPost, unauthorized reproduction and redistribution prohibited>
Most Popular