큐빅 피해 주소 1404개 반환 신청 접수…2027년 5월 마감

큐빅(Qubic)이 지갑 시드 생성 방식의 취약점이 원인으로 지목된 사고 뒤 피해자의 반환 신청 접수를 시작했다. 커뮤니티 추적 집계상 피해 주소 1404개에서 약 2조9396억 QU가 빠져나갔으며, 신청 기한은 2027년 5월 1일이다.

큐빅 네트워크는 사고 뒤 18일 85,371,949번 틱에서 중단됐다가 19일 처리를 재개했다. 큐빅은 피해 주소를 조회하고 반환을 신청할 수 있는 포털도 열었다. 신청자는 포털에서 자신의 주소가 피해 대상인지 확인한 뒤 신청서를 낸다.

◇ 포털은 신청만 접수

포털은 이 도구가 신청만 접수하며 자금을 옮기지 않는다고 명시했다. 자금 반환 여부는 검증자 역할을 하는 Computor 쿼럼이 결정하고 집행한다. 신청이 접수됐다고 반환이 자동으로 이뤄지는 것은 아니다.

신청자는 피해 원본 주소와 새 목적지 주소, 원본 주소로 서명한 메시지, 소유 증빙을 제출해야 한다. 포털은 취약한 시드로 만든 주소는 서명만으로 소유를 증명하기에 충분하지 않다고 안내한다. 거래소 출금 영수증 같은 추가 자료를 요구할 수 있다.

승인된 신청은 7일간 공개돼 이의 제기를 받는다. 다툼이 해결되지 않은 청구는 에스크로에 남는다.

포털은 시드나 개인키를 입력하라고 요구하지 않는다. 팀이 먼저 이용자에게 DM을 보내거나 복구 수수료를 청구하는 일도 없다고 경고한다. 이용자는 포털 주소를 직접 확인하고 시드와 개인키를 입력하거나 공유하지 않아야 한다.

◇ 피해 규모와 원인

커뮤니티 추적 페이지 qubicmap.org/check는 17~18일 전송을 근거로 피해 주소 1404개와 탈취량 2,939,606,531,944 QU를 집계했다. 집계는 온체인 전송 자료에 기반했다. 큐빅 측의 공식 사고 보고서는 확인되지 않았다.

피해액은 보도에 따라 약 130만~140만달러(약 17억2500만~18억5780만원)로 다르다. 환산 시점과 가격 기준이 같은 자료가 없어 단일 금액으로 확정하기 어렵다.

큐빅의 공개 지갑 코드 수정 내역은 Math.random() 기반 시드 생성을 없애고 crypto.getRandomValues()를 쓰도록 바뀐 내용을 담고 있다. 이는 시드 생성 방식에 취약점이 있었다는 정황을 뒷받침하지만 피해 규모나 공격 경로 전체를 입증하지는 않는다.

블록체인 보안업체 슬로우미스트(SlowMist)의 분석 보고서는 큐빅 지갑이 Math.random()으로 계정 시드를 생성한다고 지적한 것으로 본지가 앞서 전했다. 보고서에는 네트워크를 6차례 관측하면 개인키를 복구할 수 있다는 내용이 담겼다. 다만 해당 취약점이 이번 사고의 직접적인 공격 경로였는지는 확인되지 않았다.

비트코인닷컴 뉴스(Bitcoin.com News)는 구형 애플 기기와 브라우저에서 생성된 예측 가능한 시드가 원인으로 지목됐으며 블록체인 자체의 결함은 아니라고 전했다.

◇ 커뮤니티 반응

레딧 모네로(XMR) 커뮤니티의 한 게시물에는 취약점이 Math.random() 기반 시드 생성과 관련 있다는 이용자 지적과 네트워크 정지 조치를 비판하거나 조롱하는 댓글이 올라왔다. 이는 이용자 개인의 반응으로 독립적인 보안 감사 결과는 아니다.

네트워크 중단 당시 탈취 토큰 대부분이 네트워크에 묶여 있고 일부는 MEXC에서 동결됐다고 비트코인닷컴 뉴스는 전했다. 검증자들이 복구 계획을 승인하고 청구 플랫폼을 연 경과는 본지가 앞서 보도했다. 재개 이후 토큰의 상태는 확인되지 않았다.

반환 건수와 총액은 확인되지 않았다. 피해자는 2027년 5월 1일까지 포털에서 신청할 수 있다.