9월 해킹 손실 7억7150만달러…두 사고가 91.5%

9월 가상자산 해킹 총손실 7억7150만달러 가운데 7억620만달러가 비트겟과 리퀴드 네트워크 두 사고에서 발생해 전체의 약 91.5%를 차지했다.

서틱(CertiK) 대시보드는 28일 갱신 기준 9월 총손실을 7억7150만달러(약 1조370억원)로 집계했다. 비트겟 피해액은 3억8750만달러(약 5208억원), 리퀴드 네트워크 피해액은 3억1870만달러(약 4284억원)다. 두 금액의 합은 7억620만달러(약 9492억원)다. 원화 환산에는 1달러당 1344.09원을 적용했다.

대시보드는 총손실과 조정 손실, 동결·반환액을 각각 별도 항목으로 제시한다. 따라서 7억7150만달러는 9월 총손실 집계이며, 회수분을 반영한 순손실과 같은 지표로 볼 수 없다.

비트겟(Bitget)은 9월 24일 무단 이체를 확인했다. 초기 피해 추정액 3억5160만달러(약 4726억원)에 지캐시와 트론 네트워크 자산을 추가해 다음 날 추정치를 높였다.

사고 대상은 핫월렛과 웜월렛 인프라였다. 맨디언트(Mandiant)는 공격자가 제3자 보안 장비에 접근한 뒤 지갑 작업 서버로 이동했다고 보고서에 기록했다. 비트겟은 개인키 탈취 증거가 관찰되지 않았고 콜드월렛은 영향을 받지 않았다고 밝혔다. 맨디언트 보고서

리퀴드 네트워크(Liquid Network)에서는 9월 6일 Elements의 rangeproof(범위 증명) 검증 캐시 결함을 이용해 담보가 없는 리퀴드 비트코인(LBTC) 약 4000개가 발행됐다. 이 과정에서 비트코인(BTC) 약 4000개가 출금됐다. 사고 평가서는 Elements 취약점과 연방 구성원 한 곳의 PAK 서명 절차 설정 문제를 원인으로 들었다.

사고 평가서는 비트코인 3400개가 반환됐고 약 602개는 미반환 상태라고 기록했다. 이 수량은 반환 여부를 나타내며, 서틱의 달러 피해액과는 집계 기준이 다르다. 서틱의 피해액을 현재 미회수 자산의 가치로 해석해서는 안 된다.

9월 집계와 별도로, 레이어제로(LayerZero)의 켈프다오(KelpDAO) 사고 보고서는 4월 18일 rsETH 약 11만6500개가 유출됐다고 밝혔다. 사고 당시 피해액은 2억9200만달러(약 3925억원)로 제시됐다. 보고서는 단일 검증자 설정을 공격이 가능했던 조건으로 설명했다. 레이어제로 사고 보고서

TRM랩스(TRM Labs)는 드리프트 프로토콜(Drift Protocol)이 4월 1일 약 2억8500만달러(약 3831억원)의 피해를 입었다고 집계했다. TRM랩스의 상반기 집계에서 해킹 207건의 손실은 9억7200만달러(약 1조3065억원)였다.

TRM랩스의 상반기 수치는 서틱의 9월 총손실과 기간과 집계 주체가 다르다. 서로 다른 기준의 수치를 하나의 연간 추세처럼 직접 비교하기 어렵다.

하드웨어 지갑 사고는 취약점과 유통 과정의 변조를 구분해야 한다. 콜드카드(Coldcard) 제조사 코인카이트(Coinkite)는 시드 생성이 펌웨어 빌드·링크 오류로 약해졌지만 기기가 원격 침해된 것은 아니라고 설명했다. 코인카이트 사고 기록

갤럭시 리서치(Galaxy Research)는 콜드카드 사고와 관련해 비트코인 1837개와 주소 9218개를 제시했다. 주소 수는 피해자 수나 기기 수를 뜻하지 않는다. 갤럭시 리서치 자료

본지는 앞서 콜드카드 펌웨어 오류와 레저 기기 변조 사례를 함께 다뤘으며, 이번 원고에는 갤럭시 리서치가 제시한 주소·수량 집계를 추가했다.

레저(Ledger) 사고는 공식 유통업체를 거친 일부 기기의 하드웨어 변조 사례다. 레저는 자체 시스템과 직접 판매 경로는 침해되지 않았다고 밝혔다. 갤럭시 리서치는 피해액을 약 9100만달러(약 1223억원)로 추산했지만, 레저는 총손실액을 확정하지 않았다. 레저 대응문

콜드카드 사고 뒤 레딧(Reddit) 게시글에는 셀프커스터디 신뢰가 낮아졌다는 반응과 문제를 특정 펌웨어 결함으로 한정해야 한다는 의견이 함께 나왔다. 이는 일부 이용자의 반응으로 업계 전체 의견을 대표하지 않는다. 초기 토론, 별도 토론

리퀴드 페더레이션(Liquid Federation)은 10월 20일 스왑 기능을 단계적으로 복원한다고 밝혔다. 연방 네트워크의 직접 페그아웃은 비트코인 담보를 1대1로 복구하고 남은 보안·운영 요건을 마친 뒤 재개할 계획이다.