300만 달러 탈취… 디파이 '크로스크러브', 스마트컨트랙트 해킹 당했다

크로스체인 브리지 크로스크러브, 스마트컨트랙트 해킹으로 약 44억 원 피해

디파이(DeFi) 프로토콜 크로스크러브(CrossCurve)가 대규모 보안 사고를 겪었다. 스마트컨트랙트 취약점이 악용돼 총 300만 달러(약 43억 7,000만 원) 상당의 자금이 하드웨어 여러 네트워크에서 탈취됐다.

크로스크러브는 월요일 공식 X(구 트위터)를 통해 스마트컨트랙트의 취약점을 이용한 해킹이 감지됐다고 밝혔으며, 사용자에게 즉시 모든 상호작용을 중단할 것을 경고했다. 이 공격은 크로스크러브가 사용하는 핵심 계약 중 하나인 ReceiverAxelar를 노린 것으로, 공격자는 위조된 메시지로 검증 절차를 우회해 포털V2(PortalV2) 계약에서 자금을 무단으로 언락하는 데 성공했다.

10곳 지갑에 잘못 전송…자금 반환 요청

크로스크러브 측은 이 취약점으로 인해 일부 사용자 지갑으로 다른 이들의 토큰이 잘못 전송됐다고 설명했다. 플랫폼은 “당신의 악의적인 의도는 없다고 믿는다”며 “자금 반환에 협조해달라”고 밝혔고, 총 10개의 해당 지갑 주소도 공개했다.

이와 관련해 블록체인 보안 감시 계정 디피몬 알럿츠(Defimon Alerts)는 위조된 메시지를 통해 안전장치를 우회해 자산이 부당하게 해제됐다고 분석했다. 이는 2022년 노마드(Nomad) 브리지에서 발생한 1억 9,000만 달러 해킹과 유사한 방식이다.

이번 사태와 관련해 커브파이낸스(Curve Finance) 측도 대응에 나섰다. 크로스크러브와 관련한 유동성 풀에 투표권을 배정한 사용자들에게 “입장을 재검토하고, 필요시 투표를 철회하라”고 경고했다.

화이트햇 해커에 ‘10% 보상’ 제안…72시간 시한

피해 복구를 위한 백기사(화이트햇) 유도에도 나섰다. 크로스크러브는 ‘세이프하버(Safe Harbor)’ 책임공개 정책에 따라, 탈취된 자산의 반환에 협력하는 윤리적 해커에게 최대 10%의 보상을 지급하겠다고 밝혔다. 아직 접촉이 이뤄지지 않은 해커에게는 72시간 내 자금 반환을 요청했으며, 이에 응하지 않을 경우 형사 및 민사 절차를 포함한 강경 대응에 나설 방침이다.

대응 방안으로는 코인베이스, 바이낸스를 비롯한 대형 거래소, USDC 등의 스테이블코인 발행사, 체이널리시스(Chainalysis), TRM랩스(TRM Labs), 엘립틱(Elliptic) 같은 온체인 분석업체와의 공조를 예고했다.

업계 “보안 표준 정립 시급”…스마트컨트랙트 검증 필요성 재부각

보안 업계 관계자들은 이번 사태를 계기로 ‘표준화된 안전 스마트컨트랙트 템플릿’을 개발하고, 감사 및 보안 점검을 체계화해야 한다고 강조했다. 앤드루 모필(Andrew Morfill) 코마이누(Komainu) 최고정보보안책임자는 “보안성이 검증된 계약 개발과 철저한 감사, 그리고 전반적인 소프트웨어 개발 생태계 개선이 업계 신뢰 회복에 필수”라고 말했다.

크로스크러브는 지난해 커브파이낸스 창립자 미하일 예고로프의 지원 아래 700만 달러(약 102억 1,000만 원)를 VC로부터 유치하며 기대를 모았던 프로젝트다. 그러나 이번 해킹은 매년 반복되는 브리지 기반 보안 사고가 여전히 해결되지 않았음을 보여주며, 디파이 생태계의 근본적 신뢰 문제를 다시 수면 위로 끌어올리고 있다.

💡 “브리지를 사용한다면, 구조부터 이해하라… 위험은 코드 속에 있다”

크로스크러브 해킹 사태는 단순한 버그가 아닌 ‘스마트컨트랙트 설계의 구조적 허점’에서 비롯된 것이다. 백서만 읽고 투자한 사용자, 시스템 검증 없이 자산을 옮긴 유저는 이번 사건의 피해자가 되었지만, 사실상 이 모든 리스크는 디파이 구조에 내재되어 있었다.

이제 디파이는 아는 만큼 지키는 게임이다. 단순히 코인을 사고파는 수준을 넘어, 토큰포스트 아카데미는 프로토콜의 구조와 리스크를 '분해'하고 '검증'하는 실전 능력을 키우는 데 초점을 맞춘다.

5단계: The DeFi User 과정에서는 ‘고정 수익 상품’의 탈을 쓴 고위험 구조를 분석하고, 탈중앙 거래소(DEX)의 AMM 구조, 유동성 풀 작동 원리부터 청산 리스크 관리까지 배우게 된다.

🔹 프로토콜별 펀딩 구조와 덤핑 리스크 판단법

🔹 알고리즘 스테이블코인의 페깅 구조와 무효화 리스크

🔹 디패깅/펀딩비 역전/지갑 오작동 등 실전 리스크 사례 분석

🔹 차익거래, LP, 렌딩의 작동 원리와 보상 구조

[토큰포스트 아카데미 수강 신청하기]

커리큘럼: 기초부터 디파이, 선물옵션까지 7단계 마스터클래스

혜택: 첫 달 무료 이벤트 진행 중!

바로가기: https://www.tokenpost.kr/membership

TP AI 유의사항

TokenPost.ai 기반 언어 모델을 사용하여 기사를 요약했습니다. 본문의 주요 내용이 제외되거나 사실과 다를 수 있습니다.