Initia 해킹으로 USDC 예치자산 63달러까지 급감, 재개 일정은 미정

Initia 사태에서는 확인된 사실과 아직 결론 나지 않은 부분이 뚜렷하게 갈린다. 현지 시간 10월 23일 금요일 블록체인 Initia가 해킹을 당했고, 같은 날 15:37(UTC) 기준 출금 뒤에 깔린 USDC 예치자산은 약 100만 달러에서 당일 최저점인 63달러로 무너졌다. 이 자산은 Noble 블록체인 위에 보관돼 있었고, 온체인 데이터에 따르면 18:52(UTC) 재점검 시점에는 약 2만 4,000달러만 남아 있었다. 온체인 분석 기업 Bitquery가 지금까지 가장 상세한 자금 흐름 추적을 공개했는데, 네트워크 중단 전 구간에서 실패한 USDC 출금 시도가 55건에 달했다고 집계했다. 대부분은 단일 봇이 동일한 잔액을 반복 제출한 것이었고, 공격자의 더 큰 출금도 예치자산이 소진된 뒤에는 실패했다. Initia는 같은 날 15:41:30(UTC), 예치자산 최저점 약 4분 뒤에 레이어1과 앱체인 형태로 운영되는 롤업을 모두 중단해 남은 자금에 대한 런을 막았다. 공격 경로도 확인됐다. 담보 없는 미인가 잔액을 이용해 브리지 프로토콜에서 가치를 빼냈고, 이것이 일반 이용자의 출금 경로를 막은 지점이다. 다수 이용자에게 실제로 나타난 효과는 출금 트랜잭션이 고갈된 예치자산에 대해 더 이상 실행되지 않는다는 것이었다. Initia의 롤업은 공유 레이어1 위에서 앱체인으로 작동하기 때문에, 기반 브리지의 실패는 네트워크에 표시되는 모든 토큰에 영향을 준다. 이번 사건에서 USDC 가격은 움직이는 변수가 아니다. 문제의 위치는 스테이블코인의 달러 담보가 아니라 브리지의 수탁 계층이다. 중단 이후가 미해결 영역이다. Initia는 재시작 일정도 보상 체계도 공표하지 않았고, 사라진 브리지 담보를 어떻게 다시 채울지가 열린 변수다.

손실 규모는 어떤 기준으로 측정하느냐에 따라 달라진다. Initia의 공동창업자는 중단 전에 브리지를 통해 빠져나간 금액을 약 300만 달러로 추정했다. 예치자산 쪽에서 접근한 Bitquery도 비슷한 수치에 도달했다. 브리지 예치자산에서 실제로 지급된 자산은 약 300만 달러이고, 미인가 잔액의 액면가치는 약 700만 달러에 이른다. 이 격차는 구조에서 나온다. Initia에 표시되는 토큰은 다른 체인에 보관된 자산을 담보로 하는 청구권이고, 되돌리려면 해당 예치자산이 실물 자산을 해제해야 한다. 공격자는 담보 예치 없이 미인가 잔액으로 가치를 빼냈다. Circle의 자체 분류도 이번 사건을 좁은 틀에 넣는다. 브리지드 USDC는 다른 체인에 잠긴 USDC를 담보로 하는 제3자 토큰이고, 네이티브 USDC는 Circle이 발행해 달러로 직접 상환되는 자산이다. 한 브리지의 예치자산 고갈은 그 브리지의 출금을 막을 뿐, 발행사의 달러 담보에 대해서는 아무 말도 하지 않는다. 달러 담보는 별도 풀로서 Circle의 재무팀이 여러 법인에 걸쳐 관리한다. 논의에서 Agora의 AUSD도 언급됐지만, AUSD 공식 계정은 Initia 위에 AUSD 계약이 배포된 적 없고 AUSD가 발행된 적도 없다고 밝혔다. 영향을 받은 것은 이더리움 위에서 AUSD를 사용하는 별도의 제3자 상품이었고 Agora가 운영하는 것이 아니었다. Initia의 자체 사후 분석은 10월 24일 업데이트에서 보안 검증을 우회한 MoveVM 스크립트 캐싱 버그를 근본 원인으로 지목했다. 공격자는 이 결함을 이용해 담보 없는 WETH, iUSD, USDC 잔액을 만들었다. 다만 각 자산의 총발행량은 변하지 않았고 거버넌스 토큰 INIT도 추가 발행되지 않았다. 발행량이 그대로였다는 점이 미인가 잔액을 정상 잔액과 분류하기 어렵게 만들었을 수 있다. 10월 24일 08:46(UTC) 기준 L1과 롤업은 여전히 중단 상태였다. Initia는 며칠 안에 수정을 끝내고 외부 감사를 거치며 자산 회복 작업이 진행 중이라고 밝혔지만, 그 업데이트에도 확정된 재시작 날짜와 보상 조건은 없었다.

증거가 그은 선은 정밀하다. 확인된 것은 스크립트 캐싱 버그, 63달러의 예치자산 바닥, 약 300만 달러의 지급, 자산 발행량의 미변동이다. 주장만 있고 아직 입증되지 않은 것은 회복이 진행 중이라는 점과 수정이 며칠 안에 끝난다는 점이다. 남은 의문을 종결시킬 수 있는 것은 날짜가 적힌 재시작 일정과 브리지 담보를 다시 채울 자금의 출처다. Initia가 둘 다 공표하기 전까지는 만들어진 것과 빠져나간 것 사이의 약 700만 달러 액면 격차가 지켜봐야 할 숫자로 남는다. 지금까지의 온체인 기록은 이번 사건을 발행사 차원의 USDC 문제로 다룰 근거를 전혀 보여주지 않는다.