Blockaid, 이더리움(ETH) 기반 X100에서 485만 달러 규모 USDT 유출 지적, 공격은 진행 중

Blockaid, X100 해킹 지속 보고

보안 업체 Blockaid에 따르면 이더리움(ETH) 위에 구축된 알트코인 프로젝트 X100이 현재 진행형 공격을 받고 있으며, 지금까지 프로토콜에서 약 485만 달러 규모의 USDT가 빠져나갔다. USDT는 달러에 연동된 스테이블코인으로 피해 금액의 대부분이 이 자산으로 표시돼 있어, 손실을 달러 기준으로 그대로 읽을 수 있다는 점이 특징이다. Blockaid는 일요일 내내 공격자의 작전이 하나씩 드러날 때마다 연이어 업데이트를 내렸고, 최신 발표에서도 공격이 아직 멈추지 않았다고 밝혔다. 세 건의 작전 모두 출발점은 같다. 프로젝트 거버넌스 탈취다. Blockaid가 공개한 온체인 데이터를 보면 첫 번째 공격자가 X100 거버넌스 체계 내 상원(Senate) 세 석 가운데 두 석을 손에 넣었다. 상원은 프로토콜 금고 지출을 승인하는 의결 기구로, 과반 의석을 확보하면 별도 승인이 필요 없어진다. 공격자는 이 권한을 이용해 프로젝트 금고의 X 토큰 40만 개를, 그 목적으로 새로 개설한 텅 빈 유동성 풀에 매도했다. 이어 두 번째 공격자는 프로젝트의 Freezer 스마트 컨트랙트에 묶인 Uniswap V3 유동성 포지션을 소각했다. 포지션을 소각하면 그 안에 잠겨 있던 자산이 풀리는데, 공격자는 이 방식으로 풀에 갇여 있던 자금을 자기 명의 토큰으로 바꿔치기했다. 세 번째 공격자는 같은 탈취된 거버넌스를 통해 프로토콜에 남아 있던 Uniswap V3 유동성, 약 55만 개의 X 토큰을 인출했다. Blockaid의 누적 집계는 세 트랜잭션을 합쳐 약 485만 달러의 USDT와 55만 개의 X 토큰이 프로토콜에서 빠져나간 것으로 잡고 있다. 동사는 세 작전을 서로 다른 공격자의 소행으로 보며, 각각은 거버넌스 탈취가 끝난 뒤에 움직였다. 이번 공개는 이더리움 가격이 이달 들어 매도 압력을 받고 있는 시점에 나왔지만, 지금까지 보고된 피해는 네트워크 전반이 아니라 한 프로토콜에 집중돼 있다.

아직 노출된 X 토큰 1,220만 개

앞으로 가장 중요한 숫자는 아무도 가져가지 않은 잔여 물량이다. Blockaid는 Freezer 컨트랙트에 여전히 약 1,220만 개의 X 토큰이 보관돼 있고, 최신 업데이트 시점 기준 공격이 종료되지 않았다고 전했다. 이미 유출된 금액의 수 배에 달하는 금고 잔고가 상원 의석을 쥔 자에게 그대로 노출된 셈이다. 추가 인출에도 같은 탈취된 권한이 필요한데, 공격자는 이미 그 권한을 두 번 행사해 보였다. 집필 시점 기준 X100 팀의 사후 분석도, 공격자 지갑 주소도, 트랜잭션 해시도 공개되지 않아 대응은 보안 업체의 모니터링이 보여주는 범위에 머물고 있다. 순서가 핵심이다. 거버넌스 탈취가 먼저였고, Freezer를 통한 것이든 거버넌스 채널을 통한 것이든 두 차례의 유동성 인출은 모두 그에 의존했다. 유출된 포지션의 배후 구조는 표준적인 DeFi 설비다. Uniswap V3는 유동성을 특정 가격 구간에 집중시키는데, 포지션을 소각하면 그 기초 자산은 소각 권한을 쥔 자에게 넘어간다. 한편 텅 빈 풀은 탈취한 토큰을 즉시 매도할 곳을 제공하기 때문에, 공격자는 첫 40만 개의 X를 팔기 전에 그런 풀을 미리 만들었다. 485만 달러 가운데 얼마가 그 풀에 이미 매도됐는지, 어떤 가격인지는 공개되지 않았다. 사건은 가혹한 시장 한복판에서 터졌다. 이더리움은 30일간 13% 하락했고, 이는 같은 기간 비트코인 하락폭의 3배에 가까운 수준이다. 온체인 추적 기록에는 2,300달러 아래로 밀린 뒤 한 고래가 개설한 63.88M달러 규모의 26,974 ETH 롱 포지션도 잡혔다. 두 수치 모두 침해의 메커니즘을 바꾸지는 않지만, 심리가 이미 약한 상태에서 탈취된 X 토큰이 호가창에 풀릴 경우 시장을 얼마나 누를 수 있는지를 가늠하게 한다. 네트워크 자산의 지지선과 저항선은 우리 이더리움 기술적 분석에서 다루고 있으며, 네트워크 단위의 보도는 이더리움 태그 페이지에 모아져 있다.

우리의 판단은 이렇다. 문제의 근원은 결함 있는 풀이 아니라 집중된 거버넌스다. 상원 세 석 중 두 석이면 금고 매도와 유동성 인출을 승인할 수 있었고, 그 결과 프로토콜의 보안은 결국 그 의석을 누가 쥐고 있는가로 수렴했다. 시장 관점의 관건은 남은 1,220만 개의 X 토큰이 공격자가 돌아오기 전에 안전한 곳으로 옮겨질 수 있는가다. Blockaid의 태도는 봉쇄 조치가 아니라 지속적인 모니터링 의지를 묘사하는 수준이며, X100 팀의 대응은 아직 알려지지 않았다. 동결 조치나 팀 성명이 나오기 전까지 결과에 대한 정직한 표현은 이것이다. 탐지는 이뤄졌지만 봉쇄는 아직 아니다.