레이디움, 구형 코드 취약점에 134만 달러 탈취…현재 이용자 피해는 없었다

솔라나 기반 탈중앙화 거래소 레이디움이 ‘레거시 코드’ 취약점으로 약 134만 달러(약 20억5,000만 원) 규모 자산 탈취를 당했다. 과거 사용이 중단된 유동성 풀에서 발생한 사고로, 현재 서비스에는 영향이 없다는 점이 핵심이다.

5년 방치된 스마트컨트랙트 취약점 악용

6월 10일 발생한 이번 공격은 레이디움의 구형 AMM V3 프로그램에서 비롯됐다. 공격자는 주소 ‘Bq33QVk’로 알려졌으며, 약 90만 달러 상당의 USDC, 35만7,000달러 규모의 솔라나(SOL), 8만6,000달러 상당의 레이(RAY)을 탈취했다.

문제는 ‘LP 토큰 검증 부재’였다. 일반적인 자동화 마켓메이커(AMM)는 유동성 지분을 나타내는 LP 토큰을 검증해야 출금이 가능하다. 하지만 해당 레거시 프로그램은 이 검증 절차가 없었고, 공격자는 가짜 SPL 토큰을 만들어 단 1개의 토큰으로 전체 풀 지분을 보유한 것처럼 속였다.

결과적으로 공격자는 풀 자산을 100% 인출할 수 있었고, 이 방식으로 총 5개 풀에서 약 150,177 RAY, 5,603 SOL, 893,700 USDC를 빼냈다.

이더리움 이동 후 토네이도 캐시로 자금 세탁

탈취된 자금은 즉시 솔라나에서 이더리움으로 브리지된 뒤, 쿠코인과 픽스드플로트를 거쳐 프라이버시 프로토콜 토네이도 캐시로 이동했다. 이는 디파이 해킹에서 흔히 사용되는 ‘크로스체인 세탁’ 방식으로, 자금 추적과 회수를 어렵게 만든다.

온체인 분석가들에 따르면 공격자는 솔라나 생태계 내에서 현금화 시도를 하지 않고 곧바로 체인을 이동했으며, 현재까지 동결된 자금이나 거래소 차단 조치는 확인되지 않았다.

“현재 사용자 영향 없다”…구형 코드 문제로 선 긋기

레이디움 측은 이번 사건이 ‘자체 로직 결함’에서 비롯됐으며, 개인키 탈취나 관리자 권한 문제는 아니라고 밝혔다. 또한 현재 운영 중인 시스템으로의 확산 가능성도 없다고 강조했다.

문제가 된 AMM V3 풀은 이미 서비스에서 제외된 상태였고, 일반 사용자 인터페이스(UI)에서는 접근 자체가 불가능했다. 실제로 현재 레이디움 이용자나 활성 유동성 풀에는 피해가 발생하지 않았다.

이는 2022년 약 440만 달러 규모 손실을 냈던 개인키 탈취 사건과는 성격이 다르다. 당시에는 운영 보안 문제였다면, 이번에는 ‘온체인에 남아 있던 과거 코드’가 원인이었다.

전액 보상 결정…RAY 가격은 오히려 상승

레이디움은 프로토콜 재무를 활용해 피해 금액 전액을 보상하겠다고 밝혔다. 더불어 해당 레거시 프로그램을 완전히 폐기하고, 전체 코드베이스에 대한 보안 점검을 진행 중이다. 구체적인 보상 일정은 아직 공개되지 않았다.

시장 반응은 예상보다 차분했다. 레이(RAY) 토큰은 사건 이후 24시간 동안 약 2% 상승한 0.578달러(약 885원)에 거래됐다. 다만 최근 일주일 기준으로는 약 7% 하락했고, 사상 최고가 대비 96% 이상 낮은 수준이다.

이번 사건은 디파이에서 ‘사용 중단된 코드라도 자산이 남아 있다면 리스크가 된다’는 점을 다시 한번 드러냈다. 보안은 현재뿐 아니라 과거까지 포함해야 한다는 교훈을 남겼다.

---

기사요약 by TokenPost.ai
🔎 시장 해석
이번 사건은 현재 운영 코드가 아닌 ‘레거시 스마트컨트랙트’의 방치된 취약점이 실제 자산 손실로 이어질 수 있음을 보여준다.
서비스에서 제거된 기능이라도 온체인에 자금이 남아 있으면 공격 표면으로 작용하며, 디파이 보안은 ‘과거 코드 관리’까지 포함해야 함을 시사한다.
시장에서는 전액 보상 발표로 신뢰 훼손이 제한되며, 단기적으로 토큰 가격은 안정적인 반응을 보였다.

💡 전략 포인트
디파이 투자 시 현재 운영 여부뿐 아니라 과거 컨트랙트 정리 상태(자금 잔존 여부)를 확인하는 것이 중요하다.
프로토콜이 해킹 이후 어떤 대응(보상, 코드 폐기, 감사)을 빠르게 수행하는지도 신뢰 판단의 핵심 지표다.
크로스체인 브리지 및 믹싱 서비스 사용 여부는 자금 회수 가능성과 리스크 수준을 판단하는 단서가 된다.

📘 용어정리
LP 토큰: 유동성 공급 지분을 나타내는 토큰으로, 출금 시 검증이 필수적이다.
AMM: 주문서 없이 유동성 풀 기반으로 거래가 이루어지는 자동화 마켓메이커 구조.
레거시 코드: 현재는 사용되지 않지만 블록체인에 남아 있는 과거 스마트컨트랙트.
크로스체인 세탁: 자금을 여러 블록체인으로 이동시키며 추적을 어렵게 만드는 방식.

💡 자주 묻는 질문 (FAQ)

Q. 이번 Raydium 해킹은 현재 사용자에게 영향이 있나요? 이번 공격은 이미 서비스에서 제외된 레거시 AMM V3 풀을 대상으로 발생했으며, 현재 운영 중인 유동성 풀이나 일반 사용자 계정에는 직접적인 피해가 없는 것으로 확인됩니다. 또한 Raydium 측은 전액 보상을 발표해 이용자 신뢰 훼손을 최소화하려는 대응을 진행 중입니다. Q. 왜 사용이 중단된 코드에서도 해킹이 발생하나요? 블록체인에 배포된 스마트컨트랙트는 삭제되지 않기 때문에, 과거 코드라도 자금이 남아 있고 호출이 가능한 상태라면 공격 대상이 됩니다. 이번 사례처럼 프론트엔드에서 보이지 않더라도 온체인에서는 여전히 접근 가능하기 때문에 별도의 정리나 차단 조치가 필요합니다. Q. 공격자가 자금을 이더리움으로 옮기고 Tornado Cash를 사용한 이유는 무엇인가요? 크로스체인 브리지를 통해 다른 네트워크로 이동하면 추적 난이도가 높아지고, Tornado Cash 같은 믹싱 서비스는 자금 흐름을 섞어 출처를 숨깁니다. 이런 방식은 디파이 해킹에서 흔히 사용되며, 자금 회수를 어렵게 만드는 대표적인 세탁 패턴입니다. TP AI 유의사항 TokenPost.ai 기반 언어 모델을 사용하여 기사를 요약했습니다. 본문의 주요 내용이 제외되거나 사실과 다를 수 있습니다.