해커, Name.com 도메인 탈취로 12개 DeFi 사이트서 13만 8,000달러 인출

단일 등록기관, 열두 개 피해 프로젝트

열두 개 DeFi 프로젝트의 웹사이트가 도메인 탈취 공격으로 장악됐고, 사용자의 자산이 직접 인출됐다. 온체인 추적이 지금까지 확인한 피해 규모는 약 13만 8,000달러다. 피해 사이트 전체가 공유하는 인프라 단서는 하나뿐이다. 도메인을 모두 Name.com을 통해 등록했다는 점이다. 등록기관 하나에 열두 개 프로젝트가 몰려 있었다는 사실은 피해 범위를 넓힌 요인으로, 별개의 도메인 사고가 하나의 캠페인으로 이어진 길목이 이 공급자였다. 보안 기업 Blockaid는 12곳 중 Flap, Kintsu, Pickle Finance, Origami Finance 네 곳의 침해 사실을 확인했다. 공격자는 유사 사이트를 새로 만들지 않고 정식 사이트 자체에 악성 코드를 심었다. 지갑을 연결한 방문자는 평소와 같은 화면을 보게 되고, 실제 서명한 내용은 Step Drainer라 불리는 드레이너가 생성한 자산 이전 승인이었다. 사용자가 이동을 승인하는 순간 자금이 빠져나가는 방식이다. 침입은 10월 30일 밤에 시작됐으며, Flap은 프로젝트 서버를 건드리지 않고 트래픽을 다른 곳으로 돌리는 도메인 기록 장악, 즉 DNS 하이재킹을 공개했다. 여기까지가 기록으로 확인된 부분이고, 원인 규명은 아직 진행 중이다. 열두 개 사이트는 같은 등록기관을 쓰면서도 서로 다른 DNS 서비스를 운영했기 때문에 침해의 출발점은 Name.com 내부일 수도 있고, Vercel 같은 외부 클라우드 플랫폼일 수도 있다. 어느 쪽도 확정되지 않았다. Kintsu와 Origami Finance는 공개적으로 Vercel 인프라를 의심했으나 이는 피해 측의 주장일 뿐 입증된 결과가 아니다. 13만 8,000달러 집계는 이더리움, BNB Chain, Monad, Robinhood Chain 흐름만 반영한다. 솔라나와 Aptos 네트워크의 피해는 아직 집계 밖에 있어 최종 피해액은 달라질 수 있다. Pickle Finance와 Flap은 지금까지 상세한 사후 공개문을 내지 않았다. 피해 프로젝트들은 온체인 스마트 컨트랙트는 침해되지 않았고 도난이 전부 프런트엔드 서명을 통해 이뤄졌다고 밝혔다.

드레이너 시장과 자금 흐름

작전 타임라인은 캠페인의 속도와 대응의 신속함을 함께 보여준다. 10월 31일 현지 시각 08시 32분, 피해 도메인 10개가 정지 조치됐고 악성 페이지로의 트래픽이 끊겼으며, 10개 모두 같은 날 오전 안에 복구됐다. LevelBlue SpiderLabs 조사는 이 공격의 상업적 측면을 덧붙인다. Step Drainer의 전체 소스코드는 약 750달러에 거래됐고, 탈취 자금의 20%를 수수료로 송금하는 변형판은 150달러에 판매됐다. 이 정도 가격이면 기술 역량이 낮은 공격자도 도구를 구할 수 있고, 서로 무관한 열두 개 프로젝트를 동시에 노린 캠페인의 규모와도 맞아떨어진다. 인출된 자금도 제자리에 머물지 않았다. 온체인 기록에 따르면 수익금은 세 개 지갑으로 통합됐다. 이더리움, BNB Chain, Monad, Robinhood Chain 출처가 각각 15%, 55%, 30% 비율로 배분됐고, 13만 8,000달러 집계의 근거가 된 추적은 이 세 지갑을 따라 이뤄졌다. 이름이 확인된 피해자인 Flap, Kintsu, Pickle Finance, Origami Finance는 대형 거래소가 아니라 알트코인 생태계의 소규모 프로토콜이다. 이는 개인 지갑 연결을 겨냥한 드레이너의 전형적인 표적 프로필이다. 피해 팀 두 곳이 지목한 Vercel은 해당 프로젝트들의 프런트엔드를 호스팅한다. 이곳이 침해되면 모든 방문자가 노출되는 구조다. Name.com은 일부 피해 팀에 자사 시스템이 아닌 제3자의 잘못이라고 통보한 것으로 알려졌다. Kintsu와 Origami의 Vercel 지목과 등록기관의 책임 회피가 맞서면서, 두 개의 가능한 침해 지점만 남았을 뿐 판정해 줄 주체는 없다. Origami Finance는 Vercel과 Name.com의 근본 원인 분석이 끝날 때까지 자산 커스터디 서비스를 정지 상태로 유지하겠다고 밝혔다. 도메인을 호스팅 주소와 연결하는 DNS 디렉터리는 등록기관 계정 수준에서 통제되는데, 이 중앙화된 통제 지점을 ENS 도메인 같은 온체인 네이밍 시스템이 제거한다. 피해 사용자 수는 공개되지 않았고, 회수된 자금 보고도 없다.

Aptos 피해는 아직 집계되지 않았다

확정된 13만 8,000달러는 하한선이지 총액이 아니다. 이 추적은 솔라나와 레이어1 블록체인인 Aptos의 피해를 제외했기 때문에, 해당 네트워크가 집계에 들어오면 최종 수치는 더 높아진다. Aptos 생태계에 미친 노출은 컨트랙트 차원이 아니라 구조적 차원의 문제다. 공격 표면은 프런트엔드였고 온체인 컨트랙트는 온전히 유지됐으므로, 피해 상한은 프로토콜 재무가 아니라 개별 사용자 잔액에서 결정된다. 등록기관 문제인지 호스팅 업체 문제인지 미해결 쟁점이 복구 경로를 가른다. 등록기관 측 결함이라면 Name.com의 계정 보안과 이전 통제가 점검 대상이고, Vercel 측 결함이라면 배포 파이프라인과 자체 호스팅을 강화해야 하는 프로젝트 팀들이 문제가 된다. 악성 승인에 서명한 사용자가 취할 수 있는 구제 수단은 제한적이며, 프런트엔드 서명으로 인한 피해는 DeFi 보험 상품이 일반적으로 보상하지 않는 유형이다. 이 보안 이슈는 네트워크의 개발 로드맵과는 별개다. Aptos는 메인넷에서 암호화된 멤풀 도입을 진행했고, 트랜잭션 프라이버시를 위해 20밀리초의 지연 비용을 감수했다. 기록이 확립한 것은 네 개 체인에 걸친 약 13만 8,000달러의 추적과 열두 개 탈취된 프런트엔드다. 확립하지 못한 것은 어느 공급자가 무너졌는지이며, 피해 프로젝트들이 기다리는 답은 누적 피해액이 아니라 이 판정이다.