MEV 봇 Yoink, 780만 달러 규모 이더리움(ETH) Safe 지갑 해킹 수익을 선점 가로채다

MEV 봇 Yoink, 공격자보다 먼저 움직이다

이더리움 메인넷의 Safe 지갑에서 9월 15일 약 780만 달러가 유출됐다. 그러나 이탈을 설계한 공격자 본인은 그 돈을 손에 넣지 못했다. 온체인 데이터에 따르면 Yoink라는 이름의 MEV 봇이 공격자의 대기 중 트랜잭션을 감지하고 그보다 먼저 실행해, 유출 자금의 거의 전액을 선점해 가져갔다. MEV는 최대 추출 가능 가치(Maximal Extractable Value)의 약자로, 블록 내부에서 트랜잭션 순서를 재배치해 얻는 이익을 뜻한다. 프론트러닝은 감지된 대기 트랜잭션보다 자신의 트랜잭션을 앞세우는 행위다. 이번 사건에서 봇이 노린 것은 일반 사용자의 결제가 아니라 공격자 본인의 익스플로잇 트랜잭션이었고, 원래 도둑이 거의 아무것도 가져가지 못하는 이례적 역전이 일어났다.

익스플로잇의 침투 경로는 매우 좁았다. 팀의 공식 인시던트 경보는 유출된 지갑(0x40E93a52F6Af9fCD3b476aeDADD7FeABD9f7AbA8)을 특정하면서, 결함 부품으로 Safe의 전략을 실행하도록 배선된 스마트 컨트랙트(실행자)를 지목했다. 문제는 누구나 실행 대상을 address(this)로 설정해 인가 검증 두 단계를 우회할 수 있었다는 점이고, 이후 Safe에 활성화된 모듈을 통해 DELEGATECALL을 수행할 수 있었다. 이 모듈 경로는 공격자가 지정한 코드가 Safe 자신의 권한으로 실행되는 결과를 낳았다. GoPlus Security의 사후 분석도 같은 경계선을 확인하며, Safe의 코어 컨트랙트, 대출 프로토콜 Aave, rsETH 토큰 자체는 약점이 아니었다는 점을 명확히 했다.

이 우회 경로를 확보한 공격자는 피해자 Safe에서 약 2,900 aEthrsETH를 인출해 옮겼다. aEthrsETH는 리퀴드 리스테이킹 토큰 rsETH의 Aave V3 포지션 토큰이다. 공격자는 또한 무가치한 “Permissionless Attacker Token”(PAT)을 민팅해 Uniswap v4 풀로 라우팅했다. Blockaid의 익스플로잇 탐지는 포지션을 rsETH로 되돌리는 커스텀 훅을 추적했지만, Bitquery의 온체인 판독에서는 풀에 훅이 전혀 구성되어 있지 않은 것으로 나타났다. 어느 쪽이든 상환 경로는 완결됐다. Safe의 약 2,900 aEthrsETH는 Aave에서 상환되고 기초 자산 rsETH가 인출된 뒤, 전량이 Yoink에 전달됐다. 온체인 기록에 따르면 Yoink는 이후 2,882.37 rsETH를 외부 주소로 전송했고, 나머지 17.63 rsETH는 Uniswap v4를 통해 ETH로 교환했다. 수령 주소의 실소유자는 공개 체인 데이터만으로는 식별할 수 없다.

2,407~2,422달러 방어선

보안 사건이 진행되는 동안 ETH 시장 자체는 물러났다. 이더리움은 2,500달러 저항선을 지키지 못하고 2,400달러대로 후퇴했고, 단기 방향은 이제 좁은 지지 구간에 달려 있다. 당사의 분석 엔진은 2,407~2,422달러를 첫 번째 핵심 전환 구간으로 표시한다. 단기 이동평균선과 과거 공급 물량이 밀집된 구간이 이 범위 안에 있어, 지속 가능한 방어가 형성되어야 하는 선이기 때문이다. ETH가 2,500달러 저항선에서 또다시 거절되며 2,400달러로 하락했을 때 지적했듯이, 상단 밴드에는 역사적 공급 물량이 무겁게 깔려 있다. 차익실현 매도와 손익분기 매도 물량이 이 구간에 집중되고, 호가창 매수 물량이 얇아진 상태에서는 상대적으로 소규모 매도 주문도 평소보다 크게 가격을 밀어낼 수 있다.

레버리지가 하락 압력을 키웠다. 최근 고점 부근에서 열린 롱 포지션은 랠리 붕괴와 함께 스탑로스 압박에 놓였고, 강제 청산이 2,400달러 구간까지의 낙폭을 가속화했다. 2,407~2,422달러 밴드가 무너지면 당사의 종합 모델은 기술적 매도가 차기 주요 지지선인 2,263달러 부근까지 확대될 수 있다고 전망한다. 거시 환경도 압박의 상당 부분을 공급하고 있다. 연준의 0.25%포인트 금리 인상(목표 금리 3.75%~4.00%), 미 상원의 CLARITY 법안 처리 지연 — 이 입법 정체는 이전 세션에서 ETH를 2,388달러까지 밀어낸 바 있다 — 그리고 급등하는 유가가 암호화폐 전반의 유동성을 조여왔다. 자금 흐름에도 그대로 드러난다. BlackRock의 ETHA를 중심으로 미국 현물 이더리움 ETF 펀드에서 하루 만에 1억 4,150만 달러가 유출됐다. 분석가들은 이번 거절을 대형 플레이어의 의도적 “세척(washout)”으로 읽는 것을 경계한다. 중첩된 저항선에서의 거절은 기술적으로는 흔한 공급 흡수 과정이라는 것이다. 주목할 건설적 신호는 ETH가 밴드를 관통해 항복하는 대신, 그 안에서 거래량으로 뒷받침되는 지지 패턴을 만들 수 있는지 여부다.

온체인으로 검증된 근본 원인

두 이야기는 서로 다른 계층에서 이더리움 생태계를 스트레스 테스트한다. 애플리케이션 측면에서 증거는 영구적이고 누구나 독립적으로 검증할 수 있다. Phalcon 경보와 GoPlus의 사후 분석이 유출 지갑과 결함 실행자를 특정했고, 누구든 약 780만 달러 규모의 자금 흐름 — Aave에서 상환되어 Yoink로 라우팅된 약 2,900 rsETH — 을 온체인에서 직접 추적할 수 있다. 사후 분석들은 한 가지 개선점으로 수렴한다. 결함은 Safe의 코어 컨트랙트나 Aave, rsETH에 있지 않고 단일 외부 실행자의 인가 검증에 있었으므로, 스마트 계정의 모듈 권한은 더 엄격하게 범위를 제한해야 한다. 시장 측면에서 2,500달러 거절은 프로토콜 문제가 아니라 유동성 문제다. 그만큼 2,407~2,422달러 밴드가 단기적으로 가장 명확한 시험대가 된다.