MAGIC 뉴스 — 화이트햇 구출 작전으로 570만 달러 규모 NFT 23,155개 회복, Magic Eden 해킹 사태

화이트햇, NFT 23,155개 구조 작전

MAGIC(MAGIC) 생태계와 연동된 NFT 유틸리티 자산들을 지키는 구조 작전이 마무리됐다. 매직 에덴(Magic Eden)은 금요일 공지를 통해 2024년 2월경부터 10월 사이 자사 EVM 마켓플레이스(이더리움 및 호환 체인)에 리스트됐던 NFT가 리밋브레이크(Limit Break)의 NFT 거래·결제 프로토콜인 페이먼트 프로세서 V2의 취약점에 여전히 노출돼 있다고 경고했다. 위가 랩스(Yuga Labs) 블록체인 부문 부사장 퀴트(Quit, 0xQuit)는 X에 상세한 글을 올려 공격자가 동부시간 오전 9시에 이 버그를 악용해 Meebits 10개, Otherdeeds 50개, World of Women NFT 10개, Desperate ApeWives 235개를 탈취했다고 밝혔다. 매직 에덴은 2024년에 이 컨트랙트를 거래 정산용으로 도입했고 같은 해 10월 사용을 중단했으며 2026년 초 EVM 마켓플레이스를 완전히 폐쇄했다. 그런데도 PayFi 스타일의 결제 권한이 잔존해 오래된 리스트가 위험에 노출된 것이었다. 회사는 “현재 활성화된 매직 에덴 리스트는 피해가 없다”고 밝혔다.

수백 개 지갑 피해...첫 조사는 과소 집계

초기 파악된 피해 범위는 실제보다 작았다. 첫 번째 조사 단계에서 수백 개 지갑에서 3,832개 NFT가 옮겨졌는데, 이는 대응의 첫 몇 시간만 반영한 수치였다. 여기서 말하는 화이트햇 구조란 신뢰할 수 있는 보안 연구자들이 공격자가 자산에 손을 뻗기 전에 취약 자산을 안전 보관처로 옮기고 위험이 해소되면 소유자에게 반환하는 작전을 뜻한다. 0xQuit의 타임라인에 따르면 의심되는 결함은 초기 탈취 12시간이 넘어서야 위가 랩스 블록체인 팀에 보고됐고, 공격자에게는 긴 시간의 선제 기회가 돌아갔다. 이 경고는 알려지지 않은 해커들이 비트겟(Bitget) 거래소에서 이더리움 등 자산 3억 8,000만 달러 이상을 인출한 사건 다음 날 나왔는데, 보안 트래커들은 이번 해 최대 규모의 크립토 해킹으로 평가한다.

화이트햇이 소유자 서명 없이도 자산을 옮길 수 있었다는 점은 기존 승인 모델이 얼마나 관대했는지를 보여준다. 사용자가 NFT를 리스팅하면 통상 컨트랙트에 '전체 승인(approved for all)' 권한을 부여해 토큰을 옮길 수 있게 하고, 이 권한은 명시적으로 해지하기 전까지 유지된다. 즉 침해된 결제 경로를 호출할 수 있는 사람이라면 누구나 자산을 사실상 통제할 수 있는 것이다. 리밋브레이크는 같은 결함을 지닌 페이먼트 프로세서 V3는 일시 중단했지만 V2는 중단이 불가능했고, 결과적으로 조직적인 일괄 이전만이 유일한 방어책이었다. 2024년 이후 마켓플레이스를 아예 사용하지 않은 사용자조차 잠자는 컨트랙트에 살아 있는 권한을 그대로 쥐고 있을 수 있다. 이는 프라이빗 키 보안과 마켓플레이스 인프라가 교차하는 지점의 위험이다.

매직 에덴의 '권한 해지 우선' 대응

매직 에덴의 안내는 명확하다. EVM 마켓플레이스에서 리스팅하거나 거래한 적이 있는 사람은 Revoke.cash를 통해 이더리움, 폴리곤(Polygon), 베이스(Base)에서 V2 컨트랙트의 '전체 승인' 권한을 해지하라는 것이다. 회사는 권한을 해지한다고 이미 이동된 토큰이 돌아오는 것은 아니며, 2024년 10월 이후 생성된 리스트는 영향을 받지 않을 것으로 보인다고 덧붙였다. 또한 2024년 10월에 페이먼트 프로세서 V2 사용을 중단했고 2026년 1분기에 EVM 마켓플레이스를 폐쇄했기 때문에 활성 리스트는 노출되지 않았다고 확인했다. 자동화 시장 조성자(AMM) 유동성 풀로 솔라나에서 성장해 멀티체인으로 확장했던 이 마켓플레이스는 2월 이더리움과 비트코인 지원을 중단하고 솔라나와 암호화폐 카지노 Dicey에 집중하기로 했었다.

구조 마무리...660 WETH는 회수 못해

최종 집계는 작전의 규모와 대가를 동시에 보여준다. 위가 랩스 CEO 마이클 피게(Michael Figge)는 결함이 대응 시작 불과 몇 시간 전에야 식별됐다고 말했다. 0xQuit는 총 23,155개 NFT, 570만 달러 이상 가치가 안전하게 옮겨졌으며 소유자는 승인을 해지한 뒤 회수할 수 있다고 확인했다. 반면 취약점의 역방향 경로에 노출된 약 660 WETH는 제시간에 회수하지 못했다. 퀴트는 페이먼트 프로세서 V2(이더리움)와 V3(ApeChain) 컨트랙트 주소를 공개해 사용자가 해지하도록 했고, 매직 에덴은 리밋브레이크와 함께 추가 완화 조치를 조사 중이라고 밝혔다. 회수된 NFT는 안전한 반환을 기다리며 0x71cF로 시작하는 주소에 통합돼 있다.

잠자는 승인권이 진짜 공격 표면

구조된 토큰을 회수할 수 있는 전용 클레임 사이트가 열렸다. 0xQuit는 토요일 늦게 nftsaresafu.xyz에서 호스팅되는 포털을 공개했다. 이 주소가 유일한 공식 주소이며 개인 메시지로 돌아다니는 모방 '클레임' 사이트를 경계하라고 사용자들에 경고했다. 소유자는 표준 가스비 외 무료로 NFT를 회수할 수 있지만, 사건을 일으킨 페이먼트 프로세서 승인을 먼저 해지해야 한다. 발표 시점에 회수 자산 26,448개 중 약 2,357개가 클레임됐다. ERC721C 또는 ERC1155C 컬렉션 보유자는 전송 검사 차단에 직면할 수 있어 설정을 조정하거나 사이트를 화이트리스트에 추가해야 하며, 수정 사항은 며칠 내 제공된다고 했다. OpenSea 공동창업자 알렉스 애탈라(Alex Atallah)는 팀이 재판매를 막기 위해 3,000개 이상 아이템을 도난 처리했다고 밝혔다. 시장을 실시간으로 추적하는 독자는 Binance에서 현물과 선물 가격을 실시간으로 확인할 수 있다.

(17:42 UTC 기준) (기준 시각 17:42 UTC) 이번 사건들의 궤적은 하나로 이어진다. 잠자는 권한이 잠자는 마켓플레이스를 살아 있게 유지했다. 0xQuit의 직접 발글과 공개된 컨트랙트 주소, 즉 사실상의 사고 보고서 역할을 하는 1차 기록을 COINOTAG가 검토했고 핵심 수치들이 확인된다. 보호된 NFT 23,155개(570만 달러 이상), 첫 조사에서 이동된 3,832개, 역방향 경로로 손실된 660 WETH다. 화이트햇 구조는 사실상 비공식적인 DeFi 보험으로 작동한다. 보험약정도 보험료도 없이 커뮤니티가 손실을 줄이는 방식이다. 보유자에게 남는 교훈은 절차적이다. 이미 피벗하거나 폐쇄된 플랫폼에 수년 전 부여한 승인권은 해지하기 전까지 살아 있는 공격 표면으로 남는다는 사실이다.