Predict.fun, 29개 지갑에서 유출된 약 40만 USDT 전액 보상 약속

직접 피해자 대상 보상 약속

예측시장 플랫폼 Predict.fun이 지갑 사건으로 직접 손실을 입은 이용자들에게 전액 보상하겠다고 밝혔다. 회사가 공개한 피해 규모는 약 40만 USDT로, Tether가 발행하는 달러 연동 스테이블코인 기준이다. 회사는 10월 27일(화요일) 공개 성명에서 소수 이용자 지갑에서 승인되지 않은 전송이 발생했으며, 보상 약속이 이 사건에서 직접 자금을 잃은 모든 이용자를 포괄한다고 설명했다. 다만 이 수치는 피해 규모의 확인이지 보상이 이미 완료됐다는 발표가 아니다. 약속의 적용 대상은 직접 손실을 입은 이용자로 한정되며, 회사는 이를 완료된 지급이 아니라 약속으로 규정했다.

손실은 두 차례에 걸쳐 쌓였다. 첫 번째 전송은 10월 22일(목요일), 두 번째 묶음은 10월 27일(화요일)에 발생했고, 총 29개의 이용자 지갑에서 자금이 빠져나갔다. USDT 가격은 이 기간 내내 달러 페그를 유지했기 때문에 이번 사건은 시장 변수가 아니라 수탁과 키 보안의 실패로 분류된다. Predict.fun의 1차 조사 결과는 외부 벤더가 운영하던 API 문서 사이트의 단기적 침해를 잠정적 침입 경로로 지목했으며, 회사는 조사가 끝날 때까지 해당 사이트를 오프라인으로 전환했다. 회사는 문서 사이트 침해 의심이 초기 판단일 뿐, 그 사이트에서 승인되지 않은 지갑 전송으로 이어지는 경로는 아직 확인되지 않았다고 강조했다. 플랫폼은 피해 이용자 수, 보상 완료 일정, 피해 지갑들이 공통 인프라나 서비스 제공자를 공유했는지 여부는 공개하지 않았다. 대신 조사가 종료되면 사건 경위와 재발 방지 조치를 담은 사후 분석 보고서를 발간하겠다고 약속했다.

온체인 추적: 자금 일부는 Tornado Cash로

온체인 분석 업체 Bitquery가 BNB 체인 거래 기록을 검토해 두 차례 유출을 합산한 결과 총 39만 7,708 USDT로 집계됐고, 이는 Predict.fun이 공개한 약 40만 USDT와 부합한다. 첫 번째 파동인 10월 22일에는 여섯 개 지갑에서 12만 5,029 USDT가 빠져나왔다. 10월 27일 기준으로 측정된 두 번째 파동은 27만 2,679 USDT에 달했다. 이 두 번째 파동 안에서 약 26만 2,000 USDT가 19개 지갑에서 34분 만에 인출됐다는 기록이 확인됐는데, 이런 집중은 수작업 출금이 아니라 스크립트 기반 실행을 가리킨다. 합산된 29개 지갑은 자금이 빠져나간 주소를 세는 방식이며, 이용자 한 명이 여러 주소를 운용할 수 있어 실제 피해자 수와는 다르다.

가장 결정적인 증거는 서명이다. Bitquery가 33건의 승인되지 않은 전송을 분석한 결과, 각 거래는 그 지갑 자체의 소유자 키로 서명돼 있었다. 어떤 거래도 Predict.fun의 마켓이나 거래 컨트랙트를 호출하지 않았다. 각 프라이빗 키 서명은 전송 시점에 거래 당사자가 해당 지갑을 통제했음을 증명하지만, 온체인 기록만으로 그 키를 누가 쥐고 있었는지, 어떻게 확보했는지는 알 수 없다. 자금 추적 결과 일부 수익금은 BNB 체인에서 이더리움 네트워크로 옮겨진 뒤 Tornado Cash로 흘러들었다. Tornado Cash는 자금 출처를 가리기 위해 설계된 크립토 믹서다. 조사 보고서에는 믹서로 166.8 ETH가 예치된 것으로 기록됐으나, 자금 흐름만으로 이체한 주체가 특정되지는 않는다. Predict.fun이 성명을 내기 약 한 시간 뒤에는 별개 계좌에서 추가로 4,900 USDT가 인출됐고, 이 회사는 이 전송까지 전체 합산에 포함시켰다. 이런 유형의 탈취는 올해 업계 전반에서 반복됐다. 보안 연구자들이 적발한 이더리움에서의 485만 USDT 유출과 CoinDCX의 퇴역 지갑에서 발생한 1,599만 USDT 손실이 그 예다.

소유자 키 서명은 프로토콜 쪽에서 벗어난다

33건의 전송이 각자의 소유자 키로 서명됐고, 5일에 걸쳐 분산됐으며, 플랫폼 컨트랙트는 한 번도 건드리지 않았다. 이는 프로토콜 수준의 익스플로잇보다 이용자 키 소재가 침해됐을 개연성을 뒷받침한다. 단일 시드 구문 유출이라면 통상 모든 지갑이 한꺼번에 노출되므로, 계단식 발생 시점은 이 가설에 무게를 실지 않는다. 개별 키 단위의 침해, 예컨대 피싱이 기록과 더 잘 맞는다. 보안 연구자들은 USDT를 수확하려고 만든 가짜 사이트 사례에서도 같은 패턴을 문서화한 바 있다. 지금까지 대응이 바꿔놓은 것은 제한적이다. 의심 문서 사이트는 오프라인이 됐고 보상 약속은 기록에 남았다. 반면 남겨진 미해결 과제가 더 크다. 확정된 공격 벡터, 29개의 개별 키가 어떻게 확보됐는지에 대한 설명, 그리고 완료된 지급이 그것이다. Predict.fun의 사후 분석 보고서는 아직 의지일 뿐 공개된 결과물이 아니다.