Autheo 공격자, 1,900만 THEO를 700.8 크립토로 스왑해 브리지 통해 이동

1,900만 THEO가 700.8 ETH로 바뀌었다

Autheo의 THEO 토큰을 겨냥한 공격은 10월 12일에 닫힌 24시간 창 안에서 진행됐고, 토큰 가격이 92% 하락하는 가운데 공격자가 자금을 이더리움(ETH)으로 옮기는 국면으로 끝났다. 해당 알트코인의 프로젝트인 Autheo는 월요일 X에 보안 공지를 올려 개발팀이 사건을 조사 중이라고 확인하고, 공식 종료 통보가 나올 때까지 보유자들이 THEO를 매수·매도·브리지하지 말 것을 경고했다. 공지는 침해의 전체 규모, 취약점의 정체, 손실 추정치를 밝히지 않았다. 온체인 포렌식이 그 공백의 일부를 채웠다. 블록체인 보안 업체 PeckShield는 Base, 즉 레이어 2 네트워크 위에서 새로 발행된 1,900만 THEO가 약 176만 달러어치 700.8 ETH로 스왑된 트랜잭션을 특정했고, 그 대금이 이후 이더리움 네트워크로 브리지됐다고 밝혔다. 이 스왑은 공격자가 실제로 인출한 금액을 가늠할 수 있는 가장 명확한 온체인 기준이며, 달러 수치는 전환 시점의 가격에 좌우된다. 별개의 계산은 무단 발행 규모를 훨씬 크게 잡는다. 연구자 Vlad는 X에서 약 1억 1,900만 THEO, 토큰 유통량의 약 70%가 Hyperlane 인프라의 크로스체인 브리지 취약점 악용을 통해 생성된 뒤 유동성 풀에 매도됐다고 주장했다. Autheo는 어느 쪽 수치도 확인하지 않았다. PeckShield가 지목한 1,900만 규모와 1억 1,900만 발행이 같은 일련의 흐름인지 공개 기록만으로는 확인되지 않으며, 프로젝트는 Hyperlane을 취약점의 출처로 확정하거나 무단 발행이 어떻게 가능해졌는지 설명하지 않았다. 보안 업체가 검토한 시장 데이터는 같은 24시간 동안 THEO 가치가 약 92% 빠졌음을 보여주며, 하락은 얕은 풀로 흘러들 때마다 가격을 끌어내린 매도와 실시간으로 겹쳐 움직였다.

9,350만 THEO가 낯선 지갑에 도착했다

연구자들이 이후 트랜잭션 기록을 훑는 과정에서 후일담 하나가 떠올랐다. Zynex라는 이름으로 활동하는 검증된 X 사용자는 X 게시물에서 공격자와 연결된 주소가 사전 접촉 없이 9,350만 THEO를 자신의 지갑으로 전송했다고 밝혔다. 그는 토큰을 이동·매도·교환한 적이 없다고 밝히고, BaseScan 트랜잭션 링크와 100만 달러가 넘는 지갑 가치를 보여주는 포트폴리오 스크린샷을 공유했다. 화면의 수치는 이 정도 규모의 폭락 이후 실현 가능한 가치에 대해서는 거의 말해주지 않는다. 매도 시도를 견디지 못할 시장 가격으로 보유량을 매긴 것이기 때문이다. Autheo는 해당 토큰이 프로젝트 소속인지 확인하지 않았고, 회수용 주소도 공개하지 않았다. 외부인이 이더리움 블록체인과 롤업을 직접 읽을 수 있게 해주는 것이 바로 이런 공개 익스플로러다. 조사와 병행해 Autheo는 권고 범위를 넓혔다. 보유자들에게 수상한 스마트 컨트랙트와 링크, 특히 회복 서비스나 보상을 약속하는 것을 피하고, 프라이빗 키나 시드 구문은 절대 공유하지 말라고 했다. 팀은 혼란을 틈타 사칭 세력이 이익을 노릴 것이라고 경고했다. 거래 지원이 필요한 사용자는 지정 지원 주소로 안내받았고, 검증된 업데이트는 공식 채널로만 제공된다고 밝혔다. 회복 일정, 보상 방안, 토큰 활동 정상화 시점은 제시되지 않았다. 이번 사건은 올해 브리지 인프라가 무담보 토큰을 만들어내는 방식으로 실패한 흐름에 들어맞는다. 8월에는 The Sandbox가 조작된 위임 권한으로 Base와 BNB 스마트 체인에서 무단 SAND 발행을 겪었는데, 프로젝트는 유통량의 0.01% 미만에 영향을 줬다고 밝혔지만 연구자들은 훨씬 큰 명목 가치를 집계했다. 7월에는 거래 프로토콜 AFX가 크로스체인 브리지를 통해 약 2,415만 달러어치 USDC를 잃었고, 조사관들은 자금이 이더리움으로 옮겨져 ETH로 전환됐다고 추적했다. 6월에는 Humanity Protocol이 직원 노트북 침해 이후 Hyperlane 컨트랙트의 관리자 키 탈취로 3,600만 달러가 넘는 손실을 확인했다.

발행된 물량은 곧 탈취된 가치가 아니다

발행된 것과 인출된 것 사이의 격차가 결정적 사실이다. 온체인 기록은 Base에서 1,900만 THEO가 발행되고 약 176만 달러어치 700.8 ETH가 이더리움으로 브리지된 것까지 뒷받침하며, 1억 1,900만과 9,350만 수치는 확인된 사후 검증을 기다리는 주장으로 남는다. 무단 발행 토큰의 가치는 유동성이 공격자에게 허용하는 환매 규모만큼밖에 되지 않는다. 명목상 70%의 공급 팽창이 일곱 자릿수 실현액으로 끝난 이유가 여기에 있다. 깊이는 어느 규모에서든 중요하다. 바이낸스의 이더리움(ETH) 유동성은 최근 7개월 만의 최저 수준을 기록했으며, 이는 호가창이 인출을 얼마나 타이트하게 제약하는지 보여주는 지표다. Autheo가 의심되는 Hyperlane 결함의 근본 원인을 확정하기 전까지는 침해 사실은 입증됐지만 메커니즘은 입증되지 않은 상태다. 보유자들은 공식 업데이트만을 기준으로 DYOR 원칙을 지켜야 하며, 화요일 기준 아직 종료 통보는 나오지 않았다.