MetaMask 스테이킹 침해, 0.385 이더리움(ETH) 검증자 보상 유출

보상 주소 변경으로 0.385 ETH 유출

MetaMask 자체 인프라에 보관돼 있던 보상 수령 주소가 정상 지급을 멈추면서 약 0.385 이더리움(ETH) 규모의 스테이킹 보상이 외부 주소로 이동했다. MetaMask에 따르면 9월 28일 공격자가 인프라 일부에 무단 접근해 일부 검증자의 보상 수령 대상을 바꿨다. 해당 검증자들은 이더리움 네트워크의 지분증명 구조에서 거래를 검증하고 보상을 받는 참여자들이다. 회사는 사고 당일 변경된 주소를 확인해 즉시 바로잡았으며, 목요일 공개한 공식 사고 업데이트에서 이 사실을 밝혔다.

문제의 원인은 프로토콜이 아니라 저장 공간에 있었다. 일부 검증자의 보상 수령 주소는 중앙에서 관리되는 인프라에 저장돼 있었고, 그 시스템에 침투한 측은 사용자 지갑을 하나도 건드리지 않고 지급 흐름을 바꿀 수 있었다. 유출된 0.385 Ethereum (ETH)는 검증자가 활동하는 동안 계속 받는 실행 계층 보상 수익이며, 고객 포지션마다 예치돼 있는 스테이킹 원금과는 별개다. MetaMask의 스테이킹 서비스는 고객을 대신해 검증자를 운영하기 때문에 저장된 한 필드만 바뀌어도 여러 포지션의 보상 수익이 동시에 새 나갈 수 있었다. 당일 이뤄진 수정으로 잘못된 수령자에게 지급이 나갈 수 있는 시간대는 닫혔다.

MetaMask는 목요일 업데이트에서 피해 검증자 전부에 대한 탈퇴 절차가 끝났다고 확인했다. 검증자를 탈퇴시키면 검증 임무와 보상 흐름이 모두 끊기는데, 주소 전환이 드러난 뒤 회사가 취한 격리 조치다. 이전 온체인 추정치는 미확인 주소로 전환된 전송을 약 0.36 ETH로 잡았고, MetaMask가 제시한 0.385 ETH는 같은 사고에 대한 회사 자체 정산 수치다. 이 수치가 추정치에 덧붙은 추가 손실은 아니다. 이 공시가 나온 시점 이더리움 가격은 지난 24시간 동안 7.9% 하락했으며, 이는 COINOTAG 실시간 시장 모니터링에서 확인됐다.

원금과 키는 침해 없었다

MetaMask의 조사에서 고객의 스테이킹 원금이나 출금 키가 침해됐다는 증거는 발견되지 않았다. 업데이트는 지갑 제품에 대해서도 명확하다. 지갑이나 지갑 인프라가 침해됐다는 징후는 없으며, 사용자의 시크릿 복구 구문과 개인 키가 이번 사고에서 노출되지 않았다고 밝혔다. 공격자가 닿은 곳은 보상 전송 경로였지 금고가 아니었다.

탈퇴는 절차적 단계일 뿐 지급 행위는 아니다. 탈퇴는 검증자의 참여와 보상 흐름을 끝내지만, 그 자체로 고객 자금을 풀어주지는 않는다. 자금은 이후 이더리움 네트워크의 별도 출금 절차를 따른다. 검증자 탈퇴가 완료되면 잔고는 네트워크의 고유 일정에 따라 출금 가능해지고, 지연은 탈퇴 완료와 자금 도착 사이에 생긴다. 이 공백이 고객에게 나타난 주된 증상, 즉 일부 고객이 검증자 탈퇴 진행 중 임시 출금 지연을 겪은 현상으로 이어졌다. MetaMask는 검증자가 탈퇴 상태로 있거나 재가동을 기다린 기간에 일부 고객이 보상을 놓쳤을 수 있다는 점도 인정했다. 업데이트는 이 누락 보상의 규모를 제시하지 않았으며, 그 금액은 서비스 밖으로 전환된 0.385 Ethereum (ETH)와 별개다. 구분이 중요한 이유는 규모 측정에 있다. 0.385 ETH는 사라진 보상 수익이고, 수치가 밝혀지지 않은 부분은 지연된 수익이지 빼앗긴 것이 아니다.

MetaMask는 일반 지갑 사용자에게 별도 조치가 필요 없다고 안내했다. 스테이킹 계약이 이번 사고의 영향을 받은 고객은 MetaMask나 자신의 스테이킹 제공사가 직접 전달하는 안내를 따르면 된다. 회사는 무단 접근을 차단하고 영향받은 시스템을 보호했으며, 남은 영향은 고객과 파트너와 함께 정리해 나가고 있다고 밝혔다. 지갑 자체의 일반 사용자는 전혀 다른 범주인데, 회사는 지갑이 건드리졌다는 표시를 전혀 찾지 못했다고 보고했다.

사고의 핵심은 MetaMask 스스로 밝힌 보상 주소의 보관 위치에 있다. 지급 대상 주소가 공격자가 접근할 수 있는 중앙 인프라에 담겨 있었으므로, 이번 사건은 이더리움 프로토콜이나 지갑 키 관리의 결함이 아니라 저장 설계의 실패다. 실제 유출된 0.385 ETH는 소액이며, 탈퇴 조치가 노출 범위를 붙잡아 뒀다. 남은 질문은 두 가지다. 업데이트는 검증자가 탈퇴 상태에 있던 기간 고객이 놓쳤을 수 있는 보상을 수치로 제시하지 않았고, 주소의 저장 위치는 설명하면서 무단 접근이 어떻게 이뤄졌는지는 밝히지 않았다. 두 답이 나오기 전까지 0.385 ETH는 빼앗긴 금액을 잴 뿐 사고의 전체 비용을 말해주지는 못한다.