SecondFi, Cardano(ADA) 해킹 뒤 회수 불가 NFT당 30 ADA 보상 제시

SecondFi, 보상 포털 개설

사태의 발단은 SecondFi의 Cardano(ADA)용 암호화폐 지갑 코드 속 키 처리 결함이었다. 2026년 6월, 모든 트랜잭션 서명에 쓰이는 일회성 숫자인 논스 값을 지갑이 파생하는 방식에 결함이 있었고, 이로 인해 사용자의 프라이빗 키가 노출됐다. 결국 네오파이낸스 플랫폼에서 약 2,100만 달러 규모의 자산이 빠져나갔고, 프로젝트 측은 이 금액을 사건의 대표 비용으로 처리하고 있다. 다만 결함이 어떻게 운영 환경까지 배포됐는지는 충분히 기록되지 않았다. SecondFi는 정확한 코드 경로를 짚어낸 완전한 사후 분석 보고서를 아직 내놓지 않았다. 온체인 기록은 이번 사건에서 두 갈래 자금 움직임을 보여준다. 범죄 해커가 피해 지갑에서 240만 달러를 직접 인출했고, 신원이 확인되지 않는 화이트햇 해커가 나머지 1,850만 달러를 가져갔다. 프로젝트는 이 행위를 보안 대응의 일부로 설명했다. 넉 달의 공백과 여름 내내 이어진 차질 끝에, 회수 단계가 드디어 시작됐다. SecondFi는 수요일 회수 포털을 열어 피해자들이 6월 해킹의 '사건 스냅샷'을 기준으로 손실을 평가받을 수 있게 했다. 포털에서 사용자는 피해 지갑을 검증하고 인출된 자산에 대한 보상을 청구할 수 있다. 회사는 스냅샷이 어디까지나 추정치라고 경고하며 “최종 금액은 달라질 수 있다”고 밝혔다. 원래 형태로 돌려줄 수 없는 자산에는 고정된 30 Cardano (ADA)가 제안된다. 프로젝트가 정한 환율로 7.60달러에 해당하는 금액이며, 시장 가치가 명목 수준부터 이 배상액을 크게 웃도는 자산까지 분포하는 NFT 중 회수 불가능한 건마다 동일하게 적용된다. 보상 수령에는 새 주소도 필요하다. 피해자는 반환 자금을 받을 새로 만든 지갑 주소를 제출해야 하며, 6월 해킹과 연결된 주소로는 회수 자산이 흐르지 않도록 설계됐다. 한편 Cardano(ADA) 가격은 지난 24시간 동안 4.4% 하락했다. 넉 달을 기다린 복구 계획에 대한 시장의 반응은 미지근했다.

8월 마감이 9월 내내 밀렸다

포털의 등장은 결코 시의적절하지 않았다. SecondFi는 원래 8월 출시를 예고했으나, 이날 수요일 공개 전까지 9월 내내 여러 차례 일정을 미뤘다. 피해자들은 그때마다 정식 청구 창구 없이 기다림을 견뎌야 했다. 청구 절차는 정해진 단계를 밟으며 진행되고, 단계마다 대기 시간이 더해진다. 피해자는 먼저 자신의 피해 지갑 주소를 사건 스냅샷과 대조해 검증한다. 이후 도구가 회수 대상 자산의 추정 내역을 만들어 준다. 다음으로 반환 자금을 받을 새 지갑 주소를 제출해야 한다. 그다음 단계에서 영지식 증명이 생성된다. 이는 뒷받침 데이터를 노출하지 않으면서 청구의 유효성을 검증하는 암호학적 방법으로, 최대 15분까지 걸릴 수 있다. 회수 청구 절차 자체는 영업일 기준 최대 5일이 소요된다. 순조로운 청구조차 10월 중순으로 밀리는 구조다. 프로젝트의 공식 가이드에는 두드러지는 지침이 하나 있다. HD 지갑의 모든 주소를 지배하는 마스터 시드, 즉 피해 지갑의 프라이빗 복구 구문을 SecondFi 웹페이지에 직접 입력하라는 권고다. 이용자가 불러온 페이지가 진품이 아니라면 사칭 피싱과 중간자 공격에 그대로 노출된다. 포털이 열린 지금도 이 위험은 남아 있다. 위험의 성립은 SecondFi 자체의 의도와 무관하다. 닮은꼴 도메인 하나면 충분하다. 회수 사업이 이제 알트코인 지갑 업체의 유일한 업무가 됐다. SecondFi는 사건 이후 자산 회수에 집중하기 위해 사업을 축소하겠다고 발표했다. 모회사도 평판 비용을 치르고 있다. Cardano (ADA)의 공동 창립자이자 SecondFi의 창조 주체인 Emurgo는 이번 해킹으로 Token2049 부스 운영권을 반납했다. 이는 COINOTAG가 이번 주 초에 다룬 Token2049 부스 논란과 이어지는 사건이다.

스냅샷 추정치와 NFT 시장 가치의 간극

포털 안에서 지켜야 할 숫자는 고정 배상액 30 ADA, 약 7.60달러다. 회수 불가 NFT의 시장 가치와 무관하게 모든 건에 동일하게 적용된다. 저평가된 컬렉션 보유자에게는 하한선이 생긴다. 반대로 이 수준을 크게 웃도는 가격에 거래됐던 자산의 소유자는 차액을 감수해야 한다. “최종 금액은 달라질 수 있다”는 단서까지 남아 있어, 스냅샷 추정치조차 보장은 받지 못한다. 구문 입력 권고는 여전히 잔존하는 운영 리스크다. 노출 이후 자산을 옮기는 보유자는 콜드월렛을 기본 선택으로 삼아야 하며, 우리의 Ledger로 ADA 스테이킹하기 가이드가 그런 경로 하나를 다룬다. 공격자 트랜잭션 해시도, 완전한 사후 분석 보고서도 아직 공개되지 않았다. 결국 240만 달러와 1,850만 달러의 배분은 당분간 6월 온체인 기록에 대한 프로젝트 측의 자체 설명에 의존한다.