Rain 해킹으로 Solana(SOL) 카드 잔고 50만 달러 유출

구버전 Solana 컨트랙트에서 자금 유출

암호화폐 뉴뱅크 Avici와 Tria에 카드 발급 인프라를 공급하는 Rain이 8월 29일, 자사 모니터링 시스템이 구버전 Solana 컨트랙트의 취약점을 발견했으며 공격자가 이미 이를 악용해 이용자 카드 잔고에서 50만 8,592.22달러를 인출했다고 밝혔다. 회사 측은 이번 해킹이 레거시 컨트랙트 버전을 그대로 운영하던 일부 프로그램에 국한됐고, 자사 인프라의 나머지 모든 프로그램은 영향받지 않았다며 피해 전체 규모를 파악하기 위해 즉시 조사에 착수했다고 설명했다. 피해 잔고의 작동 방식은 이렇다. 이용자는 USDC나 USDT 같은 스테이블코인을 전용 컨트랙트에 예치하고, 해당 컨트랙트가 카드에 충전된 사용 가능 잔고를 관리한다. 공격자는 구버전에 방치된 컨트랙트를 겨냥해 그 안에 보관된 카드 잔고를 끌어낸 것이다. Tria의 X 공식 발표에 따르면 손실은 Solana 네트워크에서 충전된 USDC·USDT 카드 잔고로 제한됐으며, 이용자 지갑, 선물, Earn 상품, EVM 측 카드 잔고는 온전히 보존됐다. Avici는 별도의 공식 게시물에서 피해 이용자가 1,685명이라고 확인했고, 이용자가 직접 통제하는 Solana 및 EVM 지갑은 카드 컨트랙트와 분리 운영돼 손실이 없었다고 덧붙였다. 온체인 추적으로 재구성된 공격 순서는 명확하다. 침입자는 먼저 Avici의 인증 프로그램에서 SubmitSignatures를 호출하고, 이어 담보 관리 프로그램에서 AddCollateralAdmin을 실행한 뒤, 마지막으로 WithdrawCollateralAsset을 통해 자금을 인출했다. 시장의 반응도 빨랐다. 프로젝트의 알트코인 AVICI는 24시간 동안 약 49.4% 급락해 사상 최저가인 0.2175달러 부근까지 밀렸고, 대량 매도와 알트코인 시장 전반에 퍼진 FUD가 폭락에 불을 지폈다. Rain은 이미 구버전 컨트랙트를 운영하던 모든 프로그램을 업그레이드해 공격을 차단했다고 밝히며, 피해를 입은 모든 이용자에게 전액 보상하겠다고 약속했다. 제3자 포렌식 전문업체가 투입됐고 기술적 사후 분석 보고서도 발표할 예정이다.

Tria의 X 공식 발표https://x.com/useTria/status/2093433665258963450

국내 거래소 스테이킹, 4조 6,936억 원 도달

예치형 상품이 국내 거래소 지형도를 바꾸고 있다. 국회 정무위원회에 제출된 자료에 따르면 박민규 더불어민주당 의원이 공개한 내용으로, 원화 거래 4대 거래소인 Upbit·Bithumb·Coinone·Korbit가 7월 말 기준 스테이킹 중인 가상자산 4조 6,936억 원을 보유 중이며, 올해 이용자에게 지급된 보상은 월평균 약 104억 2,000만 원에 달한다. 여기서 스테이킹이란 이더리움이나 솔라나 같은 자산을 네트워크의 합의 메커니즘에 잠가 프로토콜 보상을 받는 방식으로, DeFi 프로토콜의 이자농사류 상품과 구별되는 예치형 상품이다. 스테이킹 규모는 연중 등락을 반복했는데, 1월 말 5조 747억 원에서 6월 말 4조 3,288억 원까지 내려왔다. 이용자 확산 속도는 더 빨랐다. 스테이킹 계좌는 1월에 100만을 돌파하며 한 달 만에 35.95% 급증해 1,048,547개에 달했고, 7월 말에는 1,225,455개에 도달했다. 경쟁 구조에도 변화가 왔다. 1월 Bithumb의 스테이킹 이용자 462,742명이 처음으로 Upbit의 321,965명을 추월했고, 현재도 Bithumb는 48.37% 점유율(592,742계좌)로 Upbit의 29.34%(359,516계좌)를 앞선다. 다만 금액 기준으로는 Upbit가 51.78%(2조 4,305억 원)로 Bithumb의 43.41%(2조 374억 원)를 유지하고 있다. 1년 전 Upbit의 68.00% 독점 지배력에 비하면 격차는 크게 좁혀진 것이다. 특기할 점은 2025년 1월부터 Upbit에서 신규 스테이킹보다 해지 규모가 매월 더 크다는 사실이다. Bithumb 이용자 수가 급증하는 동안에도 이런 흐름이 이어졌다. Upbit의 6개 스테이킹 자산은 현재 연 2.01%~19.09%의 추정 보상 수익률을 제시하고 있다. 타이거리서치 윤승식 센터장은 이 흐름을 리스크 회피 성향으로 읽는다. 시장 침체기에 이용자들이 매수·매도 대신 자산을 묶어두고 보상을 챙기는 것이다. 국내에는 경고 사례도 있다. 유사 예치형 상품인 Gopax의 GoPay 대출 서비스는 FTX 붕괴 여파로 제너시스 글로벌 캐피탈이 인출을 동결하면서 2022년 11월 사실상 문을 닫았다. 시장을 실시간으로 추적하려는 독자는 Bybit에서 현물·선물 가격을 실시간으로 확인할 수 있다.

수익형 상품의 커스터디 리스크

두 사례를 나란히 놓으면 같은 구조적 노출을 정반대에서 보여준다. 이용자 자산을 풀링해 수익을 만드는 모든 상품은 커스터디 리스크를 한곳에 집중시킨다. Rain 사례는 1차 자료 수준에서 검증이 가능하다. 공식 성명은 피해 이용자 1,685명 전원에 대한 전액 보상을 명시하고 있고, SubmitSignatures·AddCollateralAdmin·WithdrawCollateralAsset로 이어지는 온체인 호출 순서가 50만 8,592.22달러 유출이 정확히 어떻게 발생했는지 기록한다. 이는 6월 솔라나에서 발생한 Raydium 사건과도 궤를 같이 한다. 당시에는 폐기된 유동성 풀에서 약 134만 달러가 인출됐는데, 두 사건 모두 구버전 프로그램이 그대로 공격 표면으로 남아 있었다. COINOTAG의 판단은 이렇다. 헤드라인이 아니라 보상 지급 일정과 Rain의 사후 분석 보고서가 이번 사건이 프로세스 실패인지 설계 결함인지를 가려줄 것이다. 국내 예치형 상품 이용자라면 현재 제시되는 수익률보다 Gopax 전례를 플랫폼 리스크의 기본 시나리오로 삼아야 한다.