가든 파이낸스, 45만 달러 유출…솔버 장부가 뚫렸다

크로스체인 브리지 프로토콜 가든 파이낸스(Garden Finance)가 45만 달러 규모 테더(USDT) 유출 경고 직후 앱 서비스를 일시 중단했다.

코인텔레그래프에 따르면 블록체인 보안업체 블록에이드(Blockaid)는 26일(현지시간) 가든 파이낸스의 해시 타임락 계약(HTLC)에서 약 45만 달러어치 USDT가 빠져나갔다고 밝혔다. 유출 정황이 확인된 네트워크는 이더리움(ETH), 베이스(Base), 아비트럼(Arbitrum), BNB스마트체인 등 네 곳이다. 블록에이드는 당시 공격이 진행 중이라고 알리고 공격자 주소와 영향을 받은 계약 주소를 공개했다.

가든 파이낸스는 앱을 전면 중단한 뒤 문제가 된 인프라를 격리하고 점검하기 위한 예방 조치라고 설명했다. 다만 회사 대변인은 프로토콜과 HTLC 스마트컨트랙트가 침해된 것은 아니며, 공격자가 네트워크에 참여하는 독립 솔버 한 곳의 오프체인 데이터베이스에 침입했다고 밝혔다.

◇뚫린 건 계약이 아니라 솔버 장부

가든 측 설명은 온체인 계약 취약점보다 운영 인프라 침해에 가깝다. 공격자가 솔버 장부에 허위 거래 기록을 심었고, 솔버가 이를 정상 스왑으로 인식해 상대방이 입금하지 않은 자금을 내줬다는 것이다. 회사는 이용자 자금이 손실되거나 위험에 노출된 적은 없고 피해가 솔버 보유 자산에 한정됐다고 밝혔다. 다만 총 피해 규모와 대상 자산, 네트워크는 확인 작업이 진행 중이다.

HTLC는 정해진 시간 안에 조건이 충족돼야 자금이 풀리는 조건부 에스크로 계약이다. 가든 파이낸스는 이 구조를 활용해 비트코인(BTC)과 다른 네트워크 자산을 중개자 없이 맞바꾸는 아토믹 스왑을 지원한다. 문제는 실제 유동성을 공급하고 주문을 체결하는 솔버가 프로토콜 바깥의 자체 서버와 데이터베이스로 운영된다는 점이다. 스마트컨트랙트 코드가 정상이어도 솔버 장부가 조작되면 자금 이동이 발생할 수 있다.

가든 파이낸스가 솔버 문제를 겪은 것은 이번이 처음이 아니다. 지난해 10월에도 공격자가 솔버 한 곳의 운영 환경을 장악해 약 1,140만 달러를 탈취했다. 당시에도 가든은 프로토콜 계약은 영향을 받지 않았고 이용자 자금도 안전하다는 입장을 냈다.

앞서 가든 파이낸스가 해킹 의혹에 앱을 중단했다는 소식이 전해졌지만, 이번 해명으로 사고의 초점은 스마트컨트랙트보다 솔버 운영 체계로 옮겨갔다. 외부 감시자인 블록에이드는 온체인 자금 유출을 포착했고, 프로젝트는 해당 자금이 이용자 예치금이 아닌 솔버 자산이라고 설명했다. 두 설명이 정면으로 충돌하는 것은 아니지만, 브리지 보안을 계약 감사만으로 판단하기 어렵다는 점은 다시 드러났다.

가든 파이낸스는 제로섀도우(zeroShadow), 퀀트스탬프(Quantstamp), 블록에이드와 함께 자금 추적과 회수를 진행하고 있다. 회사는 최근 획득한 SOC 2 타입 II 인증을 언급하며 보안과 운영 통제에 투자해왔다고 밝혔다. 서비스는 보안 점검이 끝난 뒤 재개될 예정이며, 구체적인 시점은 제시하지 않았다.