Qubic, 취약 시드로 1,400개 지갑서 140만 달러 유출되자 체인 동결

동결된 87.1%, MEXC에 넘어간 12.9%

Qubic 지갑에서 빠져나간 약 140만 달러 규모의 탈취 자산 가운데 87.1%는 네트워크 밖으로 나가지 못했다. 정지된 체인 위에 그대로 묶여 있다. 나머지 12.9%는 블록체인 밖 거래소 MEXC로 흘러갔고, 입금이 확인된 지 약 한 시간 만에 거래소 측이 해당 계좌를 잠갔다. 프로젝트는 일요일 X(구 트위터) 공지에서 이 두 수치를 밝혔으며, 두 비율을 합하면 탈취된 전체 금액이 된다. Qubic은 블록 생성 시점인 틱 85,371,949에서 블록체인을 정지했고, 네트워크 익스플로러는 현재까지도 이 지점을 최신 상태로 표시하고 있다. 기고 시점 기준 체인은 멈춰 있는 상태이며, 재개 일정은 공개되지 않았다. 프로젝트 설명에 따르면 공격자는 시드 생성 과정의 취약점을 이용해 1,400개가 넘는 계정에서 2.94조 QU(약 140만 달러 상당)를 인출했다. 침해된 키는 세 가지 생성 경로에서 나왔고, 공지는 각 경로를 모두 특정했다. 아이폰이나 아이패드의 브라우저에서 만든 지갑은 전부 해당되며, 맥에서 사파리로 만든 지갑은 2026년 10월 18일까지 생성분이, Qubic iOS 앱으로 만든 지갑은 2025년 7월 이전 생성분이 영향을 받았다. 세 경우 모두 시드 문구, 즉 지갑이 모든 주소를 파생해 내는 기준 키가 충분한 무작위성 없이 만들어진 데 문제가 있다. 예측 가능한 시드는 공격자가 대량의 주소에 대한 개인 키를 한꺼번에 재계산할 수 있게 한다. 시드가 예측되면 한 주소만 위험해지는 것이 아니라 그 시드에서 파생된 모든 주소가 노출된다. 세 경로 외부에서 만든 지갑은 이번 경고 대상이 아니며, 프로젝트가 공개한 자금 흐름에 추가 출금처는 등장하지 않았다.

4.26.4 버전에서 Math.random() 교체

수정 작업은 이미 완료됐다. 지갑 버전 4.26.4에 대한 GitHub 업데이트에 따르면 팀은 암호학적 비밀 생성용으로 설계된 적이 없는 자바스크립트의 Math.random() 함수를 걷어내고, 시드 생성 시 암호학적으로 안전한 crypto.getRandomValues()로 교체했다. 이 변경 사항은 최신 웹 지갑 버전에 반영돼 있으며, 팀이 결함을 해결했다고 밝힌 근거도 이 패치 릴리스다. 같은 유형의 장애는 이번이 처음이 아니다. 지난 7월 하드웨어 콜드월렛 업체 Coldcard는 펌웨어 결함이 시드를 약하게 만든 뒤 방치된 지갑에서 공격자가 자금을 가져갔다고 공개했다. 2023년에는 Trust Wallet 브라우저 확장과 Libbitcoin Explorer 도구에서도 비슷한 엔트로피 결함이 발견됐다. 생성 시점의 취약한 무작위성은 설계 방식이 전혀 다른 지갑들에서 반복적으로 재발하고 있다. 모든 사례에서 지갑은 겉으로 정상 동작했고, 문제는 만들어진 키가 추측 가능했다는 점뿐이었다. 복구 절차는 이제 Qubic 거버넌스로 넘어간다. 코어 팀은 피해 지갑 목록을 정리하면서 복구 안을 준비 중이며, 체인을 검증하는 노드 운영자인 컴퓨터(Computors)의 투표에 부쳐 동결 자산의 처분을 결정하게 된다. 복구 계획이 확정되면 별도의 기술 보고서가 이어진다. 이번 사건은 시드 유출 이후 암호화폐 지갑 복구가 순탄하지 않은 이유도 보여준다. 생성 결함은 사용자 눈에 보이지 않기 때문이다. Qubic 자체는 트랜잭션과 스마트 컨트랙트를 지원하는 수수료 없는 레이어1 블록체인으로, 채굴 에너지를 AI 모델 학습으로 돌리는 유즈풀 프로오브 오브 워크(Useful Proof of Work) 합의 구조를 채택했다. 기고 시점 기준 토큰 시가총액은 CoinGecko 데이터 기준 약 6,260만 달러였다. 분기 전체 상황도 배경을 더한다. 올해 초 이후 개시된 250건을 다룬 AMLBot의 2026년 3분기 조사 보고서는 해킹과 익스플로잇이 암호화폐 범죄 건수의 19%를 차지하지만 보고된 피해액으로는 40%를 차지한다고 집계했다.

정리하면 피해 규모를 제한한 것은 두 가지 확인된 사실이다. 탈취된 QU 대부분이 공격자가 통제하면서도 움직일 수 없는 주소에 놓인 상태에서 체인이 먼저 멈췄고, 공격자가 사용한 것으로 확인된 유일한 거래소 출금로가 한 시간 안에 담혔다. 이후 절차는 코드가 아니라 거버넌스의 영역이다. 컴퓨터 투표가 동결된 2.94조 QU의 반환 방식을 정하고, Qubic은 재개 시점을 확약하지 않았기 때문에 틱 85,371,949가 체인의 최신 상태로 남아 있다. 일요일 공지 기준 탈취 자산의 87.1%는 Qubic 자체 장부에서 동결됐고, 나머지 12.9%는 잠긴 MEXC 계좌에 있다.