하이퍼리퀴드(HYPE) 에어드롭 사칭 피싱, 84초 만에 하이퍼스왑 지갑서 1만 2,300달러 탈취

크립토 뉴스

하이퍼스왑(HyperSwap) 유동성 공급자 한 명이 지갑 승인(approval) 서명 한 번으로 84초 만에 약 1만 2,300달러를 잃었다. 이 서명은 하이퍼리퀴드(Hyperliquid) 블록체인 위에서 운영되는 탈중앙화 거래소의 포지션 통제권을 공격자에게 그대로 넘겼다. 공개 온체인 기록을 재구성해 보면, 악의적 승인이 활성화된 순간부터 포지션이 얼마나 빠르게 비워질 수 있는지가 고스란히 드러난다. 피해자는 하이퍼스왑 유동성 풀에 암호화폐를 공급하고 거래 수수료를 받고 있었으며, 해당 포지션은 NFT로 토큰화돼 있었다. 이 NFT는 예치금의 통제권을 쥐는 일종의 디지털 영수증으로, 토큰을 움직이는 자가 곧 자금을 움직인다. 온체인 데이터는 자금이 인출·전환된 뒤 다른 체인으로 브릿지되기까지 2분이 채 걸리지 않았음을 보여준다.

덫은 존재하지도 않는 토큰 지급 이벤트에서 시작됐다. 피해자는 X에서 에어드롭을 홍보하는 게시물을 보고 링크를 따라갔고, 무료 배분 대상 여부를 확인하는 것이라 믿었다. 그러나 그 계정은 사칭 계정이었다. 핸들이 공식 웹사이트에 연결된 실제 프로젝트 계정 HyperSwapX와 거의 똑같아 보였기 때문에, 흘긋 보는 정도로는 구분되지 않았다. 사기 사이트에 지갑을 연결하자 겉보기엔 평범한 클레임 절차처럼 보이는 화면이 떴다. 실제로 피해자가 승인한 것은 제3의 주소에 자신의 하이퍼스왑 포지션을 옮길 권한을 부여하는 트랜잭션이었고, 이 단 한 번의 결정이 모든 것을 갈랐다.

핵심은 토큰 승인이라는 표준적인 지갑 동작이다. 이는 다른 주소가 사용자를 대신해 특정 자산을 옮길 수 있도록 허용하는 기능으로, 무해한 승인도 있지만 값진 보유 자산을 통째로 넘기는 승인도 있다. 이번 건에서 승인 대상은 NFT #178549, 즉 피해자의 하이퍼스왑 V3 유동성 포지션을 나타내는 토큰이었다. 대부분의 이용자에게 확인 창은 그저 평범해 보이며, 위조 사이트는 위험한 승인을 토큰 클레임의 정상적 단계처럼 포장할 수 있다. 이것이 현대적 승인 피싱의 설계다. 절도가 피해자에 의해 사전에 승인돼 있기에, 실제로 자금이 빠져나갈 때는 추가 서명이 전혀 필요 없다.

실행은 그 이후에 이뤄졌다. 온체인 기록에 따르면 결정적 이전은 6월 29일 20:21:51 UTC에 발생했으며, 이때 공격자는 앞서 받아둔 승인을 이용해 피해자 지갑에서 NFT #178549를 끌어냈다. 그 순간 피해자는 아무것도 서명하지 않았다. 권한은 이미 넘어간 뒤였다. 수취 주소인 0x880C95246D7525b84902E6c040818a7C72d3Aa77은 하이퍼EVM 익스플로러에서 Fake_Phishing3746335로 표시돼 있으며 피싱/해킹 경고가 붙어 있다. 이 라벨은 해당 주소가 이미 블록체인 보안 추적기관들에 알려져 있었음을 확인해 주며, 이번 절도의 인프라가 단일 표적을 위해 새로 만들어진 것이 아니라 여러 피해자에게 재사용됐음을 뒷받침한다.

자금 세탁은 거의 즉시 이어졌다. 공격자는 NFT를 탈취한 뒤 유동성 포지션을 뒷받침하던 암호화폐를 인출해 하이퍼리퀴드의 네이티브 알트코인인 HYPE로 전환했고, 그 가치를 이더리움(Ethereum)으로 브릿지했다. 이 모든 과정이 2분도 되지 않아 끝났다. 속도가 관건이다. 대다수 이용자가 무단 이전을 알아챌 무렵이면 자산은 이미 브릿지를 건너 형태까지 바뀌어 회수를 어렵게 만든다. 온체인 데이터를 보면 포지션 이전부터 크로스체인 정산까지 이어진 전 과정이 이 사건에 84초라는 헤드라인을 붙인 바로 그 짧은 시간 안에 들어맞았다. 이 흐름의 어느 단계에서도 피해자의 추가 개입은 요구되지 않았다.

이번 사건은 책임 소재도 분명히 한다. 하이퍼스왑은 하이퍼리퀴드 블록체인 위에서 돌아가지만 자체 팀이 운영하는 탈중앙화 거래소다. 이더리움 개발진이 자기 체인 위에 세워진 애플리케이션을 직접 운영하지 않는 것처럼, 하이퍼리퀴드가 하이퍼스왑을 관리하지 않는다. 다른 DEX와 마찬가지로 하이퍼스왑은 자기수탁(self-custody) 지갑에서 직접 거래하도록 하며, 어떤 회사도 자금을 보관하지 않는다. 이 구조는 중개자를 없애지만 동시에 안전망도 없앤다. 사기 사이트에서 서명된 승인은 적힌 그대로 실행된다. 결국 지갑 승인을 주기적으로 점검·취소하고, 계정 핸들을 공식 링크와 대조해 검증하는 것이 핵심 방어책으로 남는다.

우리는 이 실마리들을 하나의 주제로 읽는다. 승인 피싱은 이제 자기수탁 리스크의 가장 날카로운 끝단이며, 주의가 다른 곳에 쏠려 있을 때 가장 아프게 파고든다. COINOTAG의 종합 시장 데이터는 심리 지표가 100점 만점에 24점으로 극단적 공포(Extreme Fear) 구간에 있고, 비트코인 도미넌스는 69.3%, 전체 암호화폐 시가총액은 약 1조 8,400억 달러 부근임을 보여준다. 유동성이 메이저 자산에 집중되고 공격자들이 소규모 생태계 토큰을 든 방심한 보유자를 노리기 좋은 국면이다. 이번 사건의 일차 증거는 전적으로 온체인에 있다. 표시된 피싱 주소, 시각이 찍힌 NFT 이전, 그리고 이더리움으로의 2분짜리 브릿지가 그것이다. 어떤 프로토콜도 뚫리지 않았다. 오직 승인 한 번이 모든 일을 해냈고, 바로 그 점이 이 수법을 반복 가능하게 만든다.