어크로스 프로토콜, 18:45 UTC 도메인 탈취 사건 후 across.to 회복

탈중앙화 금융에서 가장 활발한 크로스체인 브리지 세 곳에 속한 어크로스 프로토콜의 공식 웹사이트가 화요일 해킹을 당하고 피싱 페이지가 잠시 노출됐다. 어크로스는 수요일 공지를 통해 across.to 도메인이 다시 자신들의 관리로 돌아왔으며 모든 시스템이 정상 작동 중이라고 밝혔다. 회복 과정에는 Namecheap 창립자 리처드 커큰돌의 도움이 있었다. 프로토콜 측은 이번 탈취가 온체인 인프라가 아니라 도메인 등록기관을 겨냥한 소셜 엔지니어링 공격에 따른 것이라고 설명했고, 이 구분은 사건 전체의 성격을 결정한다.

문제는 화요일 표면화됐다. 가짜 사이트에 접속한 뒤 지갑이 털렸다는 보고가 퍼지자 어크로스는 사용자에게 자사 애플리케이션 사용을 자제하라고 경고했다. 탈취된 총액과 피해 지갑 수는 아직 공개되지 않았다. 팀은 완전히 차단되기 전에 악성 사이트에 접근한 사용자는 피해를 입었을 수 있으며 제3자 연동과 API 사용자는 영향받지 않았다고만 밝혔다. 수요일 업데이트에서 어크로스는 피해를 입은 모든 사용자를 보상하겠다고 약속했고, 수일 내 사후 분석 보고서도 내놓겠다고 말했다.

이런 사건에서 도메인이 곧 핵심 자산이다. across.to는 사용자가 전송을 승인하는 프런트엔드를 담고 있어, 탈취 구간에 가짜 버전에 접속한 사람은 공격자가 보여주는 어떤 페이지에도 노출됐다. 이번 탈취에는 프로토콜의 스마트 컨트랙트가 개입하지 않았고 팀도 온체인 익스플로잇은 없다고 주장했다. 대신 등록기관 수준의 지원으로 복구가 이뤄졌다. 브리지가 자신이 통제하지 않는 인프라에 얼마나 의존하는지, 그리고 공격이 전화나 고객 지원 티켓으로 들어올 때 컨트랙트 감사가 차지하는 비중이 얼마나 작은지를 이 사건이 보여준다.

Namecheap 통해 18:45 UTC 탈취

팀이 X에 올린 이전 업데이트에서 밝힌 타임라인에 따르면 탈취 시점은 화요일 18:45 UTC경이다. Namecheap을 겨냥한 소셜 엔지니어링 공격이 공격자에게 도메인 통제권을 넘겼다. 어크로스는 15분 안에 경보를 받고 즉시 웹사이트 차단 작업에 들어갔다고 설명했다. 보안 대응 그룹 SEAL911은 주요 지갑 제공사들과 협력해 해당 도메인에 피싱 표식을 붙였고, Cloudflare는 주소를 위험으로 표시한 뒤 DNS 레코드를 제거했다. 이 조치들로 노출 범위가 좁혀졌다. 위험이 있으려면 탈취 시점과 완전 차단 시점 사이에 도메인에 접속해야 했다.

이름 뒤의 규모가 사건의 무게를 실어준다. 집계 브리지 데이터에 따르면 어크로스는 30일 전송량 기준 Circle과 LayerZero에 이어 브리지 프로토콜 가운데 세 번째다. 같은 기간 약 59억 달러를 처리했다. 그만한 유동성을 실어 나르는 프런트엔드 자체가 핵심 인프라이기 때문에 팀은 도메인 회복 전까지 앱 사용 자제 경고를 유지했다. 대응 과정은 도메인 수준 사건에서의 역할 분담도 드러냈다. 프로토콜이 자기 도메인에 피싱 표식을 붙일 수는 없으므로 지갑 제공사와 인프라 업체가 차단을 맡는 동안 팀은 등록기관과 직접 협상했다.

이번 사건은 암호화폐 인프라의 두 종류 이름도 가른다. across.to 같은 등록기관 발급 도메인은 사회적 압력에 의해 등록기관이 넘겨줄 수 있다. 반면 .ETH 도메인 같은 온체인 이름은 체인 자체에서 해석되며 부를 등록기관이 없다. 화요일 지갑이 털렸다고 보고한 사용자들에게 이 차이는 큰 의미가 없었지만, 이런 탈취 이후 프로젝트에 어떤 복구 경로가 남는지는 결정한다. 수요일 공지로 운영 단계는 끝났다. 구체적 수치가 담긴 정산 단계는 아직 남아 있다.

근본 원인은 체인 밖, 손실 미확정

검증 가능한 근본 원인은 체인 밖에 있다. 공격은 결산 로직, 유동성 풀, 컨트랙트 구조 어느 것도 건드리지 않았다. 아토믹 스왑 설계부터 영지식 증명까지, 브리지 감사가 점검하도록 만들어진 부분은 모두 그대로다. 아직 검증되지 않은 것은 손실 자체다. 팀은 공격자 주소도, 거래 해시도, 달러 총액도 공개하지 않았으므로 온체인 피해는 현재 집계되지 않은 상태다. 확인 가능한 복구는 등록기관의 도움으로 돌려받은 도메인, 그리고 몇 분 안에 공격 효과를 줄인 지갑 및 Cloudflare 표식이다. 남은 것은 피해 사용자 전원을 보상하겠다는 팀의 약속이다. 약속된 사후 분석이 수치와 함께 나오기 전까지, 이 약속이 자금을 잃은 사용자에게 남은 유일한 길이며 그 길은 전적으로 어크로스를 통한다.