디파이 해킹 사건 총정리 및 대응방법(클레바, 큐빗, 클레이스왑, 웜홀)

디파이 해킹이라니, 이게 연초부터 머선 일입니까. 클레바, 웜홀, 클레이스왑, 큐빗 총  믿었던 거래소에 스테이킹 해두었던 내 돈이 순식간에 사라진 마법같은 일. 홍자두도 당했습니다. 해킹 총정리와 함께 향후 대응 방법에 대해 알아보아요.

목차

 

---

디파이의 가장 큰 리스크, 해킹

2021년 가장 크게 성장한 디파이에 많은 유저들의 자금이 몰린 만큼, 해킹 사건이 줄지어 일어나고 있습니다. 코인하면서 지금까지 사실 해킹 사례는 빈번하게 봐왔지만, 이렇게 연속적으로 큰 곳에서 팡팡 터진 것은 처음입니다. 아무래도 하락장인만큼, 손실을 복구하기 위해 유저들이 스테이킹 이자를 노릴 수 있는 디파이로 TVL이 몰리니 해킹범들이 이때다 싶어서 털어가는 것 같네요. 지금 아주 조심해야 할 시기일 것 같아서, 각 사건 별 거래소 대응책 및 개인 투자자들 관점에서 사전에 리스크를 줄일 수 있는 투자 방법에 대해 이야기 해보고자 합니다.

 

현재 큼지막한 거래소에서 한 달 사이에 터진 해킹 사례가 총 4건. 총 5467억원치의 자금이 해킹 당했습니다. (정확히 말하면 클레바는 해킹이라기 보다는 이자 과지급 사고인데 이 부분은 뒷 부분에서 다루겠음. 홍자두는 클레바에서 당했습니다..^^ 아직도 돈 안 줌~ 빨리 줘 이것들아!)

 

• 웜홀(wormhole) - 3,858억
• 클레바(KLEVA) - 627억
• 클레이스왑(Klayswap) - 22억
• 큐빗(Qubit) - 960억

 

여기서 중요한 관점이 무엇인지 아시나요? '거래소에서 보상을 해줄 의지가 있느냐, 없느냐'입니다. 가상화폐를 잘 모르시는 분들은 그러실거에요. '당연히 거래소에서 보상해줘야죠. 발벗고 나서야죠!' 아니요... 가상화폐 계에는 아직 투자자들의 안전한 투자를 위한 자산 보호법이 없습니다. 거래소에서 우리 돈 들고 튀더라도 잡을 방도가 없는데, 해킹범이 거래소 터는 것은 더더군다나 범인을 잡을 방도도 없을 뿐더러 거래소에 법적으로 피해자들에게 피해 금액을 보상해줘야 할 의무가 없습니다. 그래서 제가 앞서서 '의지'라는 단어로 말씀을 드린 것입니다.

 

과연 총 4개의 사건 중 '보상 해줄 의지'가 있는 거래소는 어디며, 어떻게 대응을 했으며 결국 우리는 어떻게 향후 디파이 투자를 해야 할지에 대해 알아봅시다!

 

 

---

해킹 사건 1 : 웜홀 3,858억

이더리움-솔라나 블록체인을 연결하는 크로스체인인 웜홀(wormhole)는 지난 2월 3일 2.5억치 이더리움, 4700만 달러치의 솔라나, 400만 달러 상당의 USDC를 해킹 당했습니다. 이에 즉시 웜홀은 네트워크를 일시 중단 시키고, 아래와 같이 트위터로 신속하게 공지를 올렸지요. 해킹범은 웜홀 브릿지의 솔라나 취약점을 악용해서 해킹한 것.

 

 

그런데 해킹범을 잡았냐구요? 아니요. 잡을 방도가 없어요. 해킹범은 룰루랄라 이미 돈 세탁까지 완료한 상태이구요. 그런데 진짜 대박인게 뭔지 아세요 여러분? 피해금액이 3,858억이잖아요. 이 돈을 웜홀의 모기업인 점프 트레이팅(Jump Trading)이 모두 메꿔줍니다. 자금 복구를 그냥 사장님 주머니에서 털어서 유저들에게 돌려준거에요. 근데 더 대박인건 이러한 의사결정이 단 24시간만에 이루어집니다. (* 점프트레이딩은 미국의 글로벌 무역 기업으로 칠리즈 투자사로도 유명하지요)

 

• 2월 3일 : 해킹 3,858억치 당함
• 2월 4일 : 모회사 점프 트레이딩이 회사 자금으로 유저들 지갑 복구 시켜줌
• 2월 5일 : 해킹 사건 보고서 유저 대상 공개, 해커에 1000만 달러 포상금 제안

 

웜홀 미디엄 가시면 타임라인 별로 사건 일지와 향후 대응 방향, 개선책까지 아주 일목요연하게 정리되어 있음.

 

해커에게 현재 자금 반환 대가로 1000만 달러(약 120억) 포상금을 제안한 상태입니다. 여기서 더 놀라웠어요. 24시간 만에 복구해준 것도 대단하고, 그러한 의사결정을 한 것도 대단한데. 해커에게 포상금을 줄테니 돌려달라는 공지를 그 다음 날에 했다는 거예요. 그렇게 한 이유요? 인터뷰를 봐보시라...

 

우리는 멀티체인의 미래를 믿으며,
암홀 프로토콜은 멀티체인을 위한 필수적인 인프라라고 생각합니다.
따라서 도난당한 12만 이더리움을 메꾸기로 결정했습니다.

- Jump Trading 기업 인터뷰 -

 

우리는 그만큼 빠르게 움직이고 문제 해결 능력이 있다는 것, 유저들에게 신뢰를 유지하기 위해 이렇게 빠른 의사 결정을 할 수 있었다는 것. 진짜 멋있어서 치였당께요. 이래서 머기업 머기업 하나봅니다요. 아무튼 웜홀은 모회사의 빛나는 대처 능력으로 4개 사건 중 가장 규모가 컸지만 아주 신속하게 처리되었답니다.

 

 

---

 

해킹 사건 2 : 클레바 627억

위믹스로 유명한 위메이드에서 맹근 디파이 플랫폼이죠 클레바. 가뜩이나 위믹스 유저들 다 물려서 그래 클레바로 멘징이나 하자 하면서 많은 유저들과 TVL이 몰렸는데 이 상황에 해킹이라고? 진짜 난리가 보통 난리가 아니였어요. 물론 홍자두의 심장도 굉장히 빠르게 뛰었답니다.

 

그래... 위믹스라는 재원이 있으니.. 해킹 당한거여도 지들 지갑 털어서 복구해주겠지라는 생각으로 심장 진정시킴.

 

정말 이게 연초부터 머선 일인가. 왜 나에게 이런 일이 일어나는 것인가. 다음 날 위메이드 본사라도 뛰쳐 가고 싶은 심정. 그래도 위메이드는 부자 회사니까 당연히 지들이 복구해주겠지라는 희망으로 기다렸는데요. 다행히 해킹이 아니고, 시스템 오류 때문에 생긴 문제였습니다.

 

해킹범으로 몰리신 이 분이 지갑에 '저는 해커가 아닙니다' 메모 남기기잼 ㅋㅋㅋ ㅠ 얼마나 놀라셨을까...  메모 남겨주셔서 감사함다... 감사함다.. 바로 심장 진정 완료.

 

위메이드가 클레바를 업데이트 하는 과정에서 627억치 코인을 개인 유저의 지갑으로 입금을 시켜버린 겁니다. 위메이드는 오류 발생 즉시 원인 파악하고 즉각 대응에 나서서 현재 자금의 99%가 회복되었다고 함. (1%는 수수료, 슬리피지) 본인들이 업데이트 과정에서 오류가 발생해 이자가 과잉 지급된 것에 대한 오류를 인정했으며, 추가 피해를 막기 위한 조치를 바로 시행함. 그래 이거까지 좋다 이거야. 근데 왜 돈 안 돌려주냐? ^^... 빨리 빨리 좀 하자 어?

 

이번 클레바 사건이 주는 교훈은 디파이의 헛점입니다. 코드가 잘못되면, 그냥 다 날라가는 겁니다. 코드가 잘못 되서 거래소의 의지와 상관 없이, 해킹범 없이 유저의 지갑으로 돈을 오류 송금해버리고, 그 유저가 나 몰라라 잠수타면 복구 할 수도 없지요. 위메이드가 국내에서 여러가지 프로젝트로 이름을 알리고 있기에 이러한 대응이 가능했던 것이고, 익명팀으로 구성된 회사에서 이런 일이 일어났으면 그냥 프로젝트 날리고 러그풀해도 코인판에선 전혀 이상하지 않을 그림입니다. 

 

위메이드의 클레바이기 때문에 가능했던 대응이었습니다. 

 

 

---

 

해킹 사건 3 : 클레이스왑 22억

국내 디파이 첫 해킹 사례로 언론에서 떠들썩하네요. 피해자 수는 약 300명으로 해킹범의 지갑을 추적해보니 약 7개월 전부터 치밀하게 준비한 놈들이라고 합니다. 해킹 방법은 전문 용어로 프로토콜 하이재킹이라는 것인데, 고속도로로 따지면 표지판을 변경해서 차가 잘못된 길로 유도하는 것과 비슷하다고 합니다. 90분동안 325개 지갑에서 407번의 트랙잭션으로 22억치의 코인을 빼내갔습니다. 정말 순식간이네요.

 

 

해킹범은 다코드(Darkode)라는 글로벌 해커 조직의 시그니처를 남겼다고 하고, 진짜 그들이 공격한건지 아니면 위장인건지는 알 수 없다고 합니다. 굉장히 능숙한 고도화된 해킹 수법이라 최소 5명 이상으로 보인다고 하네요. 클레이스왑 개발사인 오지스가 다행히 22억 상당의 피해 금액에 대해 전액 보상 진행한다고 합니다. 이번 사건은 라우팅 보안 문제인데, 이 부분은 KT, SKT 등과 같은 기간통신사업자들이 보안을 강화하지 않으면 또 다시 일어날 수 있는 문제이기 때문에 근본적인 문제 해결은 여러 사업체들과 함께 진행해야 할 것으로 보입니다.

 

 

 

---

 

해킹 사건 : 큐빗 960억

대망의 역대급 큐빗입니다. 알고있는 분들고 계시겠지만, 이 놈들 벌써 해킹 당한거 처음이 아닙니다. 놀랍죠? 큐빗의 모회사는 마운드입니다. 한국인들로 구성된 김치 회사에요. 한국보다 외국에서 훨씬 유명해서 잘 모르시는 분들은 모르실겁니다. 팬케이크 버니부터 시작해서, 이들은 얼굴도 모두 까고 실명팀으로 구성되었는데 대처가 너무 아쉽습니다. 

 

 

우선 큐비트 해커는 가로챈 960억원을 이미 BNB 코인으로 환전해서 세탁까지 모두 한 상태라 잡으려 해도 추적도 안되는 상황입니다. 마운드 본사는 대전, 연구소는 서울에 위치해 있는데 텔레그램방 정보에 따르면 사무실을 모두 닫은 상태라고 합니다.

 

 

해킹범에게 2000만 달러의 포상금을 준다고 공지문까지 올렸지만 이미 BNB로 다 바꾼 해킹범이 과연 협상을 해줄지는 의문임... 큐빗은 자신들의 주머니를 털어서까지 복구해 줄 자금력이 없는 것일까. 피해자분들 너무나 안타까움. 팬케이크 버니 해킹 사태 때도 이들이 어떻게 보상을 해줬냐면 신규 코인을 만들어서 '너네 코인 N개만큼 잃었지? 우리가 새롭게 만든 코인이야! 똑같은 값어치로 M개치를 줄게~'로 보상해줬다 치고 끝내버린 그 사건... 신규로 만든 코인은 이름 기억 나지 않을 정도로 쓰레기 가치로 전락해서 안 받은거나 마찬가지였다는 그러한 사건...

 

큐빗 사건을 통해서는 해킹 전적이 있고, 제대로 된 대응방안을 내놓지 못한 회사에서 만든 거래소는 다시는 이용하지 말자...라는 것.

 

---

 

개인 투자자 관점
디파이 플랫폼
해킹 사전 대응 방법

 

 

사실 사전 대응을 어떻게 하겠습니까. 리스크를 줄이며 조심하자는 것이지요. 디파이를 하더라도 일단 실명팀이 운영하며 모회사의 자금운용 능력이 큰 클레이튼 계열의 플랫폼에 투자하는게 그나마 낫다 정도입니다. 위험이 절대 없다는건 아닙니다. 그나마 낫다는건 자신들의 지갑을 털어서라도 피해 금액을 복구해 줄 의지가 있는(또는 해줄 수 밖에 없는) 곳들이기 때문. 클레이튼 자체에는 탈중앙화라고는 하지만, 중앙화 시스템인 클레이튼... 이번엔 그들의 단점이 장점으로 빛을 발휘했네요(?)ㅎㅎ.. 아무튼 중앙화라 브릿지가 1개 밖에 없고 클레이스왑 운영사인 오지스에서 운영하기에 해킹 당하자마자 체인을 막아버리는 대응을 통해 돈 세탁을 막아 2차 피해를 막을 수 있었습니다. 물론 해킹 당하지 않는게 가장 중요하겠지만, 해킹은 디파이 체인이라면  안 일어난 체인이 없을정도로 어디에서나 모두 일어납니다. 그렇기 때문에, 위험성이 그나마 적은 플랫폼에서 투자하는 것이 리스크를 줄일 수 있는 방법입니다. 저 같은 경우에는 바이낸스는 시도때도 없이 털려서, 많은 돈을 넣지 않고 잃어도 괜찮을 금액으로만 디파이를 하고 있습니다.

 

현재 흐름 장세가 하락세라 위에 언급한 사건 이외에도 많은 러그풀, 해킹 사례가 일어나고 있습니다. 각별히 더 주의해서 안전하게 투자하시길 바랍니다. 개인 지갑 해킹도 다시 한 번 체크해보시구요! 사전예방법은 아래 포스팅을 참고하시기 바랍니다.

 

https://hongjadoo.tistory.com/entry/%EA%B0%80%EC%83%81%ED%99%94%ED%8F%90-%EA%B0%9C%EC%9D%B8%EC%A7%80%EA%B0%91-%ED%95%B4%ED%82%B9-%EC%82%AC%EC%A0%84%EC%98%88%EB%B0%A9%EB%B2%95-11%EA%B0%80%EC%A7%80

가상화폐 개인지갑 해킹 사전예방법 11가지

 

 

※ 아이콘 출처 : flaticon