PUNDIAI 토큰 해킹 사고…이더리움·BSC 모두 복구 완료, 사용자 자금 손실 없어

Pundi AI 재단이 자사 토큰 ‘PUNDIAI(펀디아이)’의 해킹 피해 발생부터 복구 완료까지 전 과정을 공개했다. 사고는 지난 7월 12일 발생했으며, 이더리움(ERC-20)과 바이낸스 스마트체인(BSC) 기반 토큰 모두 복구를 완료했다고 밝혔다.

2025년 7월 13일 0시 48분, 재단은 이더리움 기반 PUNDIAI 토큰에서 승인되지 않은 민팅이 발생한 사실을 확인하고, 스마트컨트랙트의 취약점을 발견했다. 전송 기능은 즉시 동결되었으며, 이는 BSC, Base, Pundi AIFX 등 다른 메인넷에는 영향을 미치지 않았다. 이 사실은 재단 CEO의 X 계정을 통해 공지됐다.

같은 날 오후 3시 4분, 재단은 PUNDIAI 거래쌍을 보유한 모든 중앙화 거래소에 입출금 중단 요청을 완료했고, 스마트컨트랙트 업그레이드가 진행 중임을 공식 텔레그램 채널과 X를 통해 밝혔다.

7월 14일 오후 7시 9분, 해커가 OpenZeppelin의 ERC1967Proxy를 초기화하지 않고 배포한 점을 악용해 악의적 구현 및 스푸핑을 설정한 것이 확인됐다. 이로 인해 약 100만 개의 PUNDIAI 토큰이 무단으로 발행됐으나, 재단은 이 중 약 71만 개를 동결하고, 27만 5천 달러 상당의 자산도 신속히 차단했다. 사후 분석 보고서는 공식 포럼에 공개됐다.

같은 날 오후 7시 18분에는 이와 관련된 사건 경과가 텔레그램을 통해 공지됐다.

오후 7시 24분에는 ERC-20 토큰의 동결 해제를 수일 내 진행할 예정이며, Pundi AIFX 메인넷은 이미 정상 운영 중이라는 점이 X를 통해 추가로 공지됐다. 아울러 BSC 네트워크에서는 Axelar 및 PancakeSwap과 협력해 신규 컨트랙트를 배포하고, 스냅샷 기준으로 보유자에게 새로운 PUNDIAI(BSC) 토큰을 에어드롭할 계획임도 발표했다. 공격자 지갑 주소도 함께 공개됐다.

7월 14일 오후 9시 53분에는 복구 작업에 대한 상황이 텔레그램 채널을 통해 다시 공지됐다.

7월 15일 오전 10시 16분, 재단은 BSC 기존 보유자에 대한 스냅샷이 완료됐고, 새로운 토큰 컨트랙트로 업그레이드할 계획임을 X를 통해 밝혔다. 기존 PUNDIAI 토큰은 해커에게 노출됐기 때문에 거래를 자제해 달라는 당부도 덧붙였다.

같은 날 오전 10시 44분에는 동일한 내용이 텔레그램 채널을 통해 다시 안내됐다.

7월 18일 오후 12시 49분, 이더리움 메인넷 상 PUNDIAI가 재활성화됐으며, 모든 온체인 기능이 정상 작동 중임이 X를 통해 공지됐다.

이후 오후 12시 51분, 같은 내용이 텔레그램 채널을 통해 반복 안내됐다.

오후 4시 27분에는 사용자 자산이 모두 안전하다는 점과 함께 ERC-20 PUNDIAI가 완전히 안정화됐으며, BSC 토큰 컨트랙트 교체가 계속 진행 중이라는 점이 텔레그램에서 공유됐다.

오후 10시 14분에는 해킹 사고 이후 일부 계정이 신규 보유자로 위장해 커뮤니티 내 FUD를 조장하고 있다며 주의를 당부했고, 사용자 자산 손실은 없다는 점이 강조됐다.

7월 23일 오전 11시 49분, BSC 상 PUNDIAI의 새로운 컨트랙트가 배포됐으며, 기존 보유자에게 에어드롭이 완료됐다는 공지가 텔레그램을 통해 발표됐다. 이에 따라 모든 PUNDIAI 토큰은 정상 작동 상태에 들어갔다.

7월 25일 오후 1시 43분, 바이낸스 알파에서 신규 PUNDIAI(BSC) 토큰의 컨트랙트 업그레이드를 지원한다는 내용이 X를 통해 공지됐다.

7월 28일 오후 7시 40분, 재단은 DAXA의 결정에 유감을 표명하면서도 그 입장을 존중하며, 한국 시장 재상장을 위한 노력을 계속하겠다는 입장을 X와 텔레그램에 공지했다.

8월 1일 오후 9시에는 복구 일정을 정리하고 커뮤니티 질문에 답하기 위한 라이브 AMA 세션이 예정되어 있으며, 이를 통해 배운 교훈을 공유할 계획이라고 밝혔다.

Pundi AI 재단은 “7월 12일 발생한 보안 사고는 7월 18일 이더리움, 7월 23일 BSC 네트워크에서의 토큰 복구를 통해 마무리됐으며, 사용자 자금 손실은 전혀 발생하지 않았다”고 밝혔다.