GMX 디파이 해커, 782억 원 중 563억 원 반환… 69억 원 보상 수령

지난 9일, 디파이(DeFi) 기반 거래 플랫폼 GMX가 스마트컨트랙트의 취약점을 악용한 해킹 공격으로 약 5,620만 달러(약 782억 원)의 암호화폐를 도난당했다. 그러나 불과 이틀 만에 해커가 도난 자산을 대부분 반환하고, GMX가 제시한 버그 바운티 약 500만 달러(약 69억 5,000만 원)를 수용하면서 사건은 예상 밖의 전개를 보이고 있다.

온체인 보안업체 펙쉴드(PeckShield)에 따르면, 이번 공격의 주체는 이더리움(ETH)과 레거시 프랙스(FRAX)를 포함해 총 4,050만 달러(약 563억 5,000만 원) 상당의 자산을 GMX에 반환했다. 이는 GMX 측이 제안한 ‘10% 화이트햇 보상’ 프로그램에 해커가 응한 결과다. 제안의 조건에는 자산을 전부 돌려줄 경우 법적 책임을 묻지 않겠다는 내용도 포함돼 있었다.

GMX는 사건 발생 직후, 일종의 리엔트런시(re-entrancy) 취약점을 악용한 공격이었다고 발표했다. 공격자는 GMX V1 스마트컨트랙트 내에 존재한 설계적 헛점을 이용해 특정 함수 호출을 중복 실행했고, 이로 인해 GLP(유동성 공급자 토큰)의 가격을 인위적으로 부풀릴 수 있었다. 당시 해커는 랩트비트코인(WBTC), FRAX, 다이(DAI) 등 여러 자산을 탈취한 뒤 이를 브릿지로 아비트럼에서 이더리움 네트워크로 이동시켜 1만 1,700 ETH로 환전했다.

이후 해커는 첫 회신 메시지를 통해 “곧 반환할 것”이라 밝히며, 단계적으로 자산을 돌려주기 시작했다. 우선 FRAX 1,049만 달러(약 145억 8,000만 원)를 GMX 보안 위원회가 관리하는 멀티시그 지갑에 이체했고, 나머지 ETH 3,200만 달러(약 445억 원)는 시세 상승에 따라 현재는 3,500만 달러(약 486억 5,000만 원)에 달했음에도 불구하고 원래 금액 기준으로 반환했다. 이익 약 300만 달러(약 41억 7,000만 원)는 그대로 챙기면서, 총 약 450만 달러(약 62억 5,000만 원) 상당을 보상으로 가져갔다.

이번 사건은 GMX 플랫폼의 V1 버전에 국한됐고, 신규 사용자 중심으로 설계된 GMX V2 프로토콜에는 해당 취약점이 존재하지 않았음이 확인됐다. GMX는 아비트럼과 아발란체 네트워크 기반의 V2에서 일시적으로 시행됐던 유동성 토큰 발행 제한 조치를 해제하며 운영을 정상화했다.

한편, GMX의 고유 토큰 GMX는 사건 직후 급락했으나, 해커의 자산 반환 소식이 전해진 이후 회복세로 돌아서며 하루 만에 13% 이상 상승했다는 분석도 함께 나왔다. 일련의 대응은 커뮤니티로부터 비교적 안정적인 리스크 관리 사례로 평가받고 있다.