Rain Card 해킹으로 솔라나(SOL) 기반 Avici 사용자 50만 달러 인출 피해

Rain Card 계약 침해

솔라나(Solana) 네트워크 위에 구축된 카드 발급 뉴스뱅크 Avici의 1,685명 사용자 카드 잔액에서 공격자가 500,859.22달러를 인출했다. 침해 지점은 해당 서비스를 구동하는 스테이블코인 담보 카드 플랫폼 Rain이 운영하는 인프라로, 침해는 8월 28일 발생했으며 Avici와 유사 카드 제공사 Tria 등 Rain 파트너사 두 곳을 타격했지만 피해는 Avici에 집중됐다. 양사는 사용자가 자기관리형 솔라나·EVM 지갑에 보관한 자금은 온전하다고 확인했다. 도난은 카드 지출 잔액을 보관하는 분리형 계약에 국한됐다. 이 구조에서 사용자는 USDC나 USDT 같은 스테이블코인을 전용 계약에 예치하고, 그 계약이 카드 사용 한도를 관리한다.

사건을 검증 중인 온체인 보안 연구진에 따르면 공격자는 위조된 서명 데이터로 사용자 카드 잔액 계약에 무단 관리자 권한을 설정한 뒤 자금을 인출했다. 악용된 취약점은 교체되지 않은 채 운영 중이던 구버전 계약에 있었다. Rain은 이후 영향 계약 업데이트를 완료해 유출을 차단했으며, 침해 원인을 자사 구형 솔라나 계약의 취약점으로 규정하고 있다. 다만 공식 기술적 근본 원인 보고서는 아직 공개되지 않았다. 이 지점은 우리가 넘기지 않고 명확히 짚어두는 부분이다. Tria는 자사 카드 잔액의 이더리움 EVM 자산은 안전하다고 밝혔다. Avici는 FBI 인터넷 범죄 신고 센터(IC3)에 신고서를 제출했다. 온체인 추적 결과 도난 자금은 레이어 2 경로가 아닌 메인넷 경로로 이더리움에 브리징된 뒤 여러 차례에 걸쳐 Tornado Cash로 전송됐다. 한편 Circle이 도난된 USDC를 동결하지 않았다는 비판이 소셜미디어에서 확산됐다. Rain, Avici, Tria 세 회사 모두 피해 사용자에 대한 전액 보상을 약속했지만, 지급 일정이나 재원은 아직 공개되지 않았다.

GOLD 밈코인 폭락

카드 해킹이 진행되는 동안, 솔라나 생태계의 투기적 측면에서 별개의 사건이 트레이더들에게 큰 타격을 주고 있었다. 솔라나 기반 밈코인 GOLD는 시가총애가 급등한 직후 짧은 시간 동안 90% 이상 붕괴했고, 온체인 데이터상 한 주소 — Emxhs...euZMP — 가 가장 큰 손실의 일부를 떠안았다. 이 주소는 토큰 시가총애가 4,000만 달러 미만일 때 72,700달러 규모 포지션을 쌓았고, 관련 홍보 게시물이 삭제되고 프로젝트 주변에 탈취 루머가 퍼진 이후에도 18,100달러를 추가 매수했다. 누적 투입액은 90,000달러를 넘었고, 실현 손실은 현재 82,400달러에 이르며 보유자산은 투입액 대비 90.7% 아래로 떨어졌다.

동일 모니터링 기간에 추가 경고 신호도 확인됐다. 고점 근처에 매수한 한 사용자는 유동성이 증발하면서 불과 7분 만에 62,100달러를 잃었다. 이는 자동화 마켓 메이커(AMM) 풀이 일방적으로 쏠려 깊이가 사라질 때 발생하는 전형적인 슬리피지다. 구조적으로 더 중요한 점은, 분석 커뮤니티에 유통되는 데이터에 따르면 GOLD 팀이 토큰 총공급량의 82.45%를 보유하고 있으며 개발자 지갑이 6억 개 토큰을 쥐고 있다는 것이다. 이렇게 집중된 분포에서는 매도자 한 명으로 가격이 무너질 수 있다. 모니터 자체도 주소 단위 데이터는 거래 행위를 보여줄 뿐 보유자의 의도까지는 확인하지 못한다고 경고한다. 교훈은 방향이 아니라 구조에 관한 것이다. 급등락하는 토큰에서는 서사보다 보유 집중도와 풀 깊이 확인이 우선이다. 시장을 실시간으로 추적하려는 독자는 Bybit에서 현물·선물 가격을 실시간으로 확인할 수 있다.

솔라나 소비자 리스크 조명

두 사건을 함께 놓고 보면 리스크 스펙트럼의 양끝에서 같은 흐름이 드러난다. 솔라나의 소비자 레이어가 운영 안전장치의 확장 속도보다 빠르게 성장하고 있다는 점이다. 카드 침해 사건은 온체인에서 검증 가능하다 — 인출 금액은 확정됐고 자금 흐름은 Tornado Cash까지 추적된다. 그러나 Rain의 결정적 사후 분석 보고서는 아직 나오지 않았으며 보상 조건 역시 미정이다. 밈코인 쪽에서는 팀이 통제하는 82.45%의 공급량이, 집중된 공급량이 하게 되는 일을 그대로 해냈다. 우리의 판단은 이렇다. 소매 자금이 솔라나의 소비자 레일에 닿기 전 가장 중요한 두 가지 실사 항목은 이제 커스터디 아키텍처와 토큰 분배 감사다.