공격자, Fetch.ai(FET) 토큰 컨버터에서 156만 달러 인출

단 한 번의 서명으로 Fetch.ai 컨버터 잔고 전량 유출

공격자가 9월 20일 이더리움에서 운영 중인 Fetch.ai 토큰 컨버터에서 약 156만 달러 상당의 FET를 인출했다. 온체인 포렌식 결과, 같은 지갑이 NuNet(NTX) 프로토콜에 대한 동시다선 공격에도 연루된 것으로 확인됐다. 침해 발생 수 시간 내 경보를 내보낸 보안 연구기관 Blockaid의 보고에 따르면, 공격자는 유효한 전환 승인 서명을 확보한 뒤 FET 전환을 처리하는 컨트랙트 모듈 TokenConversionManagerV3의 conversionIn 함수를 호출했다. 단 한 번의 승인된 호출만으로 컨버터에 남아 있던 FET 재고 전량이 공격자 지갑으로 넘어갔으며, 해당 지갑은 0x1572...c362 주소로 특정됐다.

사건의 핵심은 금액만이 아니다. 이런 유형의 컨버터는 프로토콜과 토큰 공급 사이에서 가치를 이동시키는 장치로, 크로스체인 브리지가 네트워크 간 자산을 옮기는 방식과 흡사한 역할을 한다. 그리고 특권 함수의 승인 로직이 얇은 검증에 의존하면, 모듈의 전체 잔고가 단 한 건의 트랜잭션에 노출된다. 이번 사건은 정확히 그 지점이 뚫린 사례다. 공격자는 상한이 걸린 출금을 여러 번 이어가는 대신, 서명 검증을 통과하는 호출 한 번으로 모듈을 털어냈다. 탐지, 공개 경보, 지갑 특정이 모두 같은 날 이뤄진 만큼, 온체인 보안팀들이 전환 인프라를 얼마나 촘촘히 감시하는지도 확인할 수 있었다. 다만 집필 시점 기준 Fetch.ai 측의 복구나 보상 관련 공식 입장은 발표되지 않았다. 자금 회복 여부는 아직 미확인으로 봐야 한다. 한편 FET는 세션 초반 약 5% 하락한 데 이어, 현물 시세 기준 최근 24시간 동안 6.7% 내림폭을 기록 중이다. 우리 편집국은 이 하락을 보안 이슈 위에 얹힌 전반적 시장 압력으로 읽으며, Artificial Superintelligence Alliance 생태계 자체의 구조적 타격으로 판단하지 않는다.

NuNet 토큰, 사상 최저가로 붕괴

같은 지갑 클러스터의 움직임은 FET를 훨씬 넘어섰다. 온체인 데이터에 따르면 Fetch.ai 피해 지갑은 NuNet 배포 계정으로부터 NTX 토큰 대량 민팅을 직접 받았으며, 그 규모는 약 45만 2,000달러에 달한다. 이로써 클러스터 전체의 공격 금액은 약 201만 달러로 불어났다. PeckShield의 추적에 따르면 공격자는 이후 탈취 자산을 546.36 ETH로 스왑했고, 분석 시점 기준 약 144만 달러 가치였다. 출금 유동성이 얕은 토큰에서 빠져나가는 전형적인 자금 세탁 수순이다. NTX가 직격탄을 맞았다. 9월 20일 사상 최저가 0.000328달러까지 폭락했고, 보도 시점에는 0.0004달러 인근에서 거래됐다. 상장된 모든 거래소에서 홀더들이 일제히 문을 박고 나오면서 24시간 동안 70% 이상 급락했다. 소형 시가총액 토큰에서 단일 지갑이 신규 공급을 장악하는 일이 얼마나 치명적인지 보여준 사례다. 이번 사건은 9월이 암호화폐 업계에 가혹한 한 달임을 다시 확인시켰다. 불과 사흘 전에는 Starknet 대출 프로토콜 Nostra가 조작된 오라클로 350만 달러를 잃었고, Fetch.ai 침해 이전에도 9월 해킹 집계는 17건에서 약 3억 3,100만 달러의 손실을 기록한 상태였다. 대부분은 3억 2,000만 달러 규모의 Liquid Network 침해에서 나온 것이다. FET와 NTX 사건까지 포함하면 이달 누적 피해는 3억 3,300만 달러를 넘어섰다. 시장 여건도 방어막이 되지 못했다. 이날 암호화폐 전체 시가총액은 약 4% 하락했고, 분석가들이 전형적인 베어마켓 환경이라 부르는 리스크 오프 국면에서는 피해 토큰을 사들이는 매수세가 사라진다.

서명만으로 이뤄지는 승인 구조에 대한 재검토 필요

두 사건을 관통하는 구도는 명확하다. 공격자 한 명, 피해 프로토콜 둘, 그리고 단 하나의 오프체인 서명을 신뢰하는 승인 로직이라는 공통 취약점. SlowMist의 사후 분석은 원인을 정확히 짚었다. conversionIn() 함수는 단일 EOA의 ECDSA 서명만을 유일한 검증 수단으로 삼았고, conversionOut()이 갖춘 checkLimits(amount) 수정자를 누락했으며, 온체인 검증은 아무것도 수행하지 않았다. 1차 증거에서 그대로 읽어지는 대응 방안은 분명하다. 모든 특권 호출에는 온체인 검증과 금액 상한이 필요하다. 컨버터와 브리지 유형 모듈이 이 표준을 채택하기 전까지, 9월의 3억 3,300만 달러 손실 장부는 계속 늘어날 것으로 COINOTAG은 전망한다. 이번 사건은 AI 연계 토큰이 재차 시장의 검증 대상이 되는 시점에도 겹쳐 들어왔다. 관련 보도인 FET 등 AI 토큰 주목에서 확인할 수 있듯, 헤드라인 리스크가 해당 섹터에 복리로 작용하고 있다.