아비트럼 보안위원회, 해커 지갑의 7,460만 ARB를 보관 주소로 이동

서명 9개로 해커 자금을 이전하다

바이낸스 해킹 사건에서 탈취된 약 8,425 ETH와 7,460만 Arbitrum (ARB)가 이제 아비트럼 DAO의 관리 아래 놓인 보관 주소에 안치돼 있다. 이전 작업은 10월 30일 금요일, 네트워크의 보안위원회가 해커의 개인키를 전혀 건드리지 않고 수행했다. 보안위원회가 움직인 시점은 바이낸스에서 64억 3,000만 달러가 유출된 지 하루 뒤다. 온체인 분석 업체 Elliptic은 이번 사건을 기록상 최대 규모의 해킹으로 분류한다.

달러 표시 자산부터 막혔다. 테더는 해커의 메인 지갑에 도착한 지 37분 만에 USDT를 동결했고, 서클도 그 몇 분 뒤 탈취된 USDC 8억 2,300만 달러 전부를 잠갔다. 두 스테이블코인 잔액은 지금도 해커의 콜드월렛이 아니라 해커의 지갑 주소에 그대로 머물며 컨트랙트 수준에서 차단된 상태다. 아비트럼은 같은 방식을 쓸 수 없었다. 이더리움 레이어2인 아비트럼에는 블랙리스트 기능이 없기 때문이다. 대신 네트워크에는 토큰 보유자가 선출한 12인 규모 보안위원회가 있고, DAO 헌법은 "보안 비상사태에 대응하기 위해 지체 없이" 무엇이든 업그레이드할 수 있는 권한을 이 위원회에 부여한다. 서명 12개 중 9개면 충분하다. 10월 29일 목요일 저녁 위원회는 이 권한을 행사해 트랜잭션을 네트워크로 중계하는 소프트웨어를 잠시 교체한 뒤, 대체 중계기를 통해 해커 명의의 트랜잭션 두 건을 발생시켜 8,425 ETH와 거버넌스 토큰 7,460만 ARB를 보관 주소로 쓸어 담았다. 본지는 같은 날 온체인에서 두 전송을 추적하며 동결된 7,460만 ARB를 보도한 바 있다. 발행사 블랙리스트가 잔액을 제자리에 묶어두는 것과 달리, 이번 작업은 자산을 물리적으로 옮겼다. 따라서 해커가 브리지 프로토콜을 활용하거나 개인키를 교체하는 등 어떤 조치를 취해도 자금을 되찾을 수 없다. 이번 사건에 대한 대응 전체도 드물게 효과적이었다. Elliptic 집계 기준 64억 3,000만 달러 중 약 44%가 동결 또는 압수됐는데, 지난해 바이비트 해킹 직후의 약 3%와 비교되는 수치다. 그러나 비트코인은 아무도 막지 못했다. 탈취된 18,270 BTC 중 동결된 것은 한 톤도 없고, 해커가 이더리움 메인넷에 보유한 이더도 마찬가지다.

KelpDAO 사례가 남긴 전례

10월 30일의 작업에는 직접적인 전례가 하나 있다. 지난 4월 같은 보안위원회는 KelpDAO 공격자를 상대로 중계기 교체 권한을 사용했고, 해당 이더가 풀려나기까지 6월 15일 월요일을 기다려야 했다. 병목은 기술이 아니라 법이었다. 북한에 대한 법원 판결을 보유한 유족들이 동결 자산에 대해 금지 통지를 보냈고, 연방 법원이 이전을 승인한 뒤에야 토큰 보유자 투표로 자금이 Aave로 라우팅됐다. 반면 스테이블코인 측 대응은 해킹 발생 후 첫 시간 안에 마무리됐다. 4월 사건에서 아비트럼 기반 자산을 동결한 것은 당시 비판을 받았다. 위원회가 같은 방식으로 두 번째 행동에 나선 지금, 이 기억은 다시 의미를 갖는다. 도둑을 멈추는 동일한 권한이 그 권한이 다스리는 이용자의 소송 대상이 될 수 있기 때문이다. 이 메커니즘은 퍼지는 중이다. 7월 아비트럼 기술 스택 위에 출시돼 약 22억 4,000만 달러를 보유한 Robinhood Chain은 단일 로빈후드 지갑에 동등한 동결 권한을 부여하며, 서명 8개 중 7개를 요구하고 대기 기간은 두지 않았다. 공개된 레이어2 보호 도구 추적 자료에 따르면 감시 대상 83개 네트워크 중 79개가 업그레이드 발효 전 이용자에게 출금 기회를 주지 않는다. 발행사 측 동결은 코드가 다를 뿐 결과는 같다. 테더의 컨트랙트는 블랙리스트에 오른 잔액을 소각하고 토큰을 재발행할 수 있으며, 회사는 이 기능이 과거 도난 자산 약 12억 달러를 회수했다고 밝힌다. 서클의 컨트랙트에는 이런 기능이 없다. 서클은 법적 절차를 통한 강제가 있을 때만 자금을 동결한다고 서면으로 밝힌 바 있지만, 5월에는 법원 명령 전 단계의 긴급한 집행 요청을 위한 예외를 추가했다. 비트코인은 이 모든 구조 바깥에 있다. 발행사도 위원회도 법원도 그 위에 스위치를 갖고 있지 않다. 그래서 18,270 BTC가 손에 닿지 않는 것이고, 아비트럼의 행동이 다시 떠올린 질문은 열쇠 보유자가 아닌 누군가가 언제, 애초에 가능하기는 한지, 코인을 움직일 수 있어야 하는가다.

온체인 기록이 지금 보여주는 것

위원회가 10월 30일 아비트럼 포럼에 제출한 비상조치 공지는 이번 작업의 사후 보고서 역할을 한다. 이 문서는 중계기 교체와 두 건의 전송을 기록하고 있으며, 온체인 데이터는 자산의 도착지가 이후 바뀌지 않았음을 확인한다. 통제 상실의 원인은 해커 키의 유출이 아니라 중계기 교체 권한에 있으므로, 자금은 돌아온다 해도 KelpDAO 사례에서 6주가 걸렸던 DAO 방출 절차를 통해서만 돌아온다. 11월 15일 일요일 예정된 9,314만 ARB 언락은 도난된 7,460만 Arbitrum (ARB)가 잠긴 상태에서 유통량을 더 늘릴 것이다. 11월 5일 목요일 기준 온체인 기록은 8,425 ETH와 7,460만 ARB가 여전히 보관 주소에 있음을 보여주며, 이것이 자산이 목격된 마지막 지점이다.