Avici 해킹, Solana(SOL) 카드 사용자 100만 달러 이상 유출

담보 계정에서 100만 달러 이상 인출

Solana 기반 암호화폐 카드 플랫폼 Solana 생태계의 Avici를 겨냥한 공격이 진행 중이며, 사용자 담보 계정에서 100만 달러 이상이 유출된 것으로 온체인 데이터가 확인된다. COINOTAG는 사건이 진행되는 동안 온체인 거래 기록을 직접 검토했다. 의심 공격자 지갑은 UTC 13시 40분 크로스체인 브리지 deBridge를 통해 다른 네트워크에서 1.79 SOL을 받으며 첫 자금을 조달한 뒤, 약 3시간 동안 활동 없이 대기했다. UTC 16시 49분 48초에 처음으로 Avici의 프로그램을 호출했고, 이후 온체인 기록에는 피해 계정들에서 반복되는 3단계 시퀀스가 나타난다. 먼저 Solana의 Ed25519 서명 검증 프로그램과 함께 Avici 인가 프로그램을 통해 SubmitSignatures를 호출하고, 이어 AddCollateralAdmin으로 사용자 담보 계정에 추가 관리자를 등록한 뒤, 마지막으로 WithdrawCollateralAsset으로 담보를 공격자가 통제하는 주소로 인출하는 구조다.

검토된 인출 중 하나에서는 단일 사용자 계정에서 2,346.77 USDT가 빠져나갔다. 공격자는 수집한 스테이블코인 일부를 과정 중 SOL로 교환했으며, 한 스왑에서는 209.76 SOL을 받았다. UTC 18시 58분 기준 해당 지갑은 약 107만 달러 가치의 10,005.03 SOL과 약 1만 1,600달러의 USDC·USDT를 보유하고 있었다. 단 11분 동안 약 2,595 SOL, 약 27만 7,000달러어치가 불어났으며, 이 주소가 서명한 거래는 총 14,672건, 이 중 2,344건이 실패했다. 익명 온체인 분석가 STACC가 구축한 실시간 트래커는 125개의 송신 계정을 식별했고, 개별 전송 규모는 약 9 USDC에서 2만 6,000 USDT 이상까지 분포했다.

Avici는 첫 신고 거래 약 1시간 53분 뒤 X 게시물을 통해 상황을 인정했다. “카드 잔액 출금에 영향을 미치는 문제를 인지했으며 상황을 면밀히 모니터링하고 있다”고 밝히고, 관련 파트너와 직접 협력 중이라고 덧붙였다. 다만 회사는 이 사건을 해킹으로 규정하지 않았고, 손실 규모나 피해 고객 수도 확인하지 않았다. 주목할 점은 피해를 입은 두 프로그램이 모두 업그레이드 가능했고 단일 업그레이드 권한을 공유했다는 사실이다. 이 권한은 멀티시그가 아닌 일반 계정이었으나, 이 권한이 인출을 가능하게 했다는 증거는 아직 없다. 이번 사건은 Avici의 카드 담보·인가 프로그램에만 국한되며, Solana 레이어 1 네트워크 자체의 결함이 확인됐다는 보고는 없다.

피싱 사이트가 2차 피해 양산

피해는 여기서 끝나지 않았다. Avici를 사칭한 가짜 웹사이트들이 사용자로부터 60만 달러 이상을 추가로 유출했다. 피싱 페이지는 피해자를 가짜 버전의 뉴뱅크 사이트로 유도해 암호화폐 지갑을 연결하게 만들었고, 공격자는 이 접근 권한으로 잔액을 인출했다. Avici는 보안 Visa 신용카드와 연동되는 셀프커스터디 지갑을 내세워 왔으며, Apple App Store 등록 정보에는 “사용자가 항상 통제권을 유지하며 회사는 사용자 자금을 보유하지 않는다”고 명시돼 있었다. 관리자 등록과 담보 직접 인출이 가능했다는 보고는 이 약속을 되돌아보게 만드는 대목이다.

AVICI 토큰이 낙폭의 직격탄을 맞았다. 세션 초반에는 38.54% 하락한 0.2728달러에 거래됐고, 최신 시세는 24시간 기준 49.4% 하락한 0.2175달러로 역대 최저가를 기록했다. 2025년 11월 26일 세운 역대 최고가 7.56달러 대비 약 97% 하락한 수준이다. 시가총액은 약 284만 달러로 축소됐고, 24시간 거래량은 약 656,543달러였다. 대부분의 거래는 MetaDAO의 퓨터키 자동화 마켓 메이커에서 이뤄졌는데, 이 dApp은 프로젝트 최초 펀드레이징도 진행했던 곳이다. 나머지 거래량은 LBank, KCEX, MEXC가 담당했다.

Avici Inc.는 웹사이트에 샌프란시스코 주소를 표기하고 델라웨어 법인으로 등록돼 있어, 자격을 갖춘 미국 카드 사용자에게 직접적인 노출을 안긴다. 프로젝트는 2025년 10월 상한이 설정된 MetaDAO 토큰 판매를 통해 350만 달러를 조달했다. 7,352명이 약 3,423만 달러를 약속했으나 상한 적용으로 약 89.8%가 반환됐고, AVICI는 0.35달러에 판매돼 완전희석 기준 프로젝트 가치는 약 452만 달러로 평가됐다. 카드 인프라는 Visa·Mastercard 연동 발급용 스테이블코인 결제 인프라를 공급하는 파트너 Rain에 의존한다. Avici와 Rain 어느 쪽도 파트너 시스템이 침해됐다는 발표를 하지 않았다.

인가 통제 구조 주목

담보 유출과 피싱 캠페인을 함께 놓고 보면 하나의 궤적이 보인다. Solana 생태계의 결제형 애플리케이션이 합의 계층이 아닌 인가 계층에서 공격받고 있다는 것이다. 핵심 1차 기록은 Avici 자신의 X 성명이지만, 이는 카드 잔액 출금 문제만 확인할 뿐 사후 분석을 제공하지 않는다. 프로그램 결함, 유출된 자격 증명, 노출된 서명 키 중 무엇이 공격자의 요청을 통과시켰는지는 아직 독립 보안업체도 규명하지 못했다. 업계 데이터도 같은 방향을 가리킨다. Hacken 보고서는 2026년 2분기 도난 약 7억 6,400만 달러의 88.3%가 키·서명자·인프라 침해에 기인했다고 밝혔다. SOL은 24시간 동안 4.6% 하락했고, Kraken의 막판 표 변경으로 디스인플레이션 제안이 67%를 넘겼던 네트워크의 업그레이드 권한 거버넌스는 이제 더 엄격한 시험대에 올랐다.