Qubic, QU 시드 해킹 피해 1,404개 지갑 대상 배상 신청 포털 개설

1,404개 피해 주소 대상 배상 신청 창구 개설

Qubic이 지난 10월 시드 생성 취약점 사건으로 지갑이 비워진 보유자를 위한 배상 신청 포털을 열었다. 피해 이용자는 2027년 5월 1일 토요일까지 신청을 마쳐야 한다. 커뮤니티 추적 페이지 qubicmap.org/check에 집계된 피해 주소는 총 1,404개이며, 10월 17일과 18일 이틀에 걸쳐 이체된 규모는 약 2조 9,396억 QU(2,939,606,531,944 QU)다. 이 수치는 회사 측 추정이 아니라 온체인 이동 기록을 직접 합산해 만들어진 것이다. 달러 환산액은 지금까지 약 130만~140만 달러 사이에서 회자되고 있다. 환산 시점과 가격 기준이 서로 달라 격차가 생겼으며, 아직 공식 사고 보고서가 하나의 검증 수치를 확정하지 않은 상태다.

포털 자체는 신청을 접수하는 기능만 하며 자금을 옮기지 않는다. 실제 반환은 네트워크 합의 기구인 컴퓨터 정족수(Computor quorum)가 각 건을 심의하고 집행한다. 따라서 신청서를 제출했다고 해서 배상이 자동으로 이뤄지는 것은 아니다. 신청자는 침해된 원본 신원, 새로 생성한 목적지 신원, 원본 신원으로 서명한 메시지, 소유권을 뒷받침하는 증빙 자료를 함께 제출해야 한다. 서명만으로 분쟁을 종결할 수 없다. 공격자가 유출된 시드를 재현하면 같은 유효 서명을 만들어낼 수 있기 때문이다. 이에 따라 플랫폼은 거래소 출금 내역서, 사적 거래 기록, 신청자가 실제로 통제하는 다른 지갑의 자금 흐름 등을 추가로 요구할 수 있다. 승인된 신청은 7일간 공개되어 이의 제기를 받고, 이의가 달린 건은 분쟁이 해결될 때까지 에스크로에 보관된다. Qubic은 10월 20일 X 게시글을 통해 포털 개설을 알리며 검증된 소유자에게 첫 배상이 이미 도달했다고 밝혔다. 다만 지급액과 승인 건수는 공개하지 않았다. 팀 측은 시드나 개인 키를 요구하지 않고, 먼저 개인 메시지를 보내지 않으며, 배상 수수료를 받지 않는다고 덧붙이며 이용자에게 포털 주소를 직접 확인하라고 당부했다.

틱 85,371,949 정지와 4.26.4 패치

체인은 10월 18일 틱 85,371,949에서 처리를 멈췄고, 배상 제안이 정족수 투표에 부쳐지는 동안 운영자들이 이체를 동결한 뒤 10월 19일 월요일 처리를 재개했다. Qubic의 이전 보안 업데이트는 10월 17일 늦은 밤부터 18일 새벽까지 이어졌으며, 정지 시점에 도난 토큰의 87.1%가 여전히 네트워크 위에 남아 있었다고 추정했다. 나머지 12.9%는 거래소 MEXC에 도달했고, 프로젝트 측에 따르면 MEXC는 약 1시간 만에 입금 계정을 동결했다. 네트워크 차단 기간 동안 피해 자금은 배상에 대비해 보호 에스크로에 있었다. 원인은 레이어 1 블록체인 프로토콜이 아니라 지갑 소프트웨어에 있다. 시드 생성 과정의 무작위성이 부족해 일부 복구 문구가 예측 가능했던 것이다. GitHub에서 공개된 지갑 코드 변경은 Math.random()을 crypto.getRandomValues()로 교체하며 수정 지점을 정확히 보여준다. SlowMist 분석은 구조에서는 네트워크 관측 6회만으로 키를 재구성할 수 있었다고 주장했으나, 이 경로가 실제 공격 벡터였는지는 SlowMist나 Qubic 어느 쪽도 확인하지 않았다. 다른 보도는 체인 결함이 아닌 Safari를 구동하는 구형 iPhone, iPad, Mac 브라우저에서 만들어진 예측 가능한 시드를 가리켰다. Qubic의 현재 지침은 단호하다. 10월 19일 배포된 4.26.4 버전 이전에 만들어진 웹 지갑은 잔액이 손대지 않았더라도 비보안으로 취급해야 한다. 앱을 갱신해도 기존 자격 증명은 복구되지 않으므로, 이용자는 HD 지갑의 마스터 자격 증명인 새 복구 문구를 생성하고 남은 자금을 새 주소로 옮겨야 한다. 사고에 대한 전체 기술 보고서는 아직 나오지 않았다.

서명만으로는 소유 증명이 되지 않는다

이번 설계에서 눈에 띄는 점은 Qubic이 이 공격 계열의 냉정한 귀결을 받아들였다는 사실이다. 공격자가 시드를 재생성할 수 있으면 서명은 더 이상 어떤 증거도 되지 않는다. 그래서 포털은 암호학 대신 거래 이력과 사람의 검토에 기대고 있다. 이 절충은 속도보다 정확성에 무게를 둔다. 7일 공개 창구와 분쟁 신청에 대한 에스크로는 중복·허위 접수를 걸러내는 장치다. 다만 공백은 정량적 자료 쪽에 남는다. 반환된 금액도 신청 건수도 공개되지 않았고, 예고된 전체 기술 보고서도 아직 발간되지 않았다. 그 사이 도난 QU의 행방을 가장 분명하게 보여주는 지도는 온체인 잔분 87.1%와 MEXC 동결 기록이다. 하드웨어 지갑은 시드 생성을 다르게 처리한다. Ledger 복구 키는 기기 내부에서 생성되고, Tangem 모바일 지갑은 생성 과정을 브라우저 밖에 둔다. 잔액 이전을 준비하는 보유자는 2027년 5월 마감 전 암호화폐 지갑 복구 방법 가이드를 단계별로 따라볼 수 있다.