"상반기 블록체인 웹3 노린 해킹으로 2.6조원 피해"

(지디넷코리아=임유경 기자)올해 상반기 탈중앙화금융(DeFi·디파이), 대체불가토큰(NFT) 같은 블록체인 웹3 프로젝트를 노린 사이버공격으로, 20억 달러(약 2조6천억 원) 이상의 피해가 발생한 것으로 나타났다. 이는 지난해 전체 피해액을 합친 것보다 큰 규모다.

블록체인 보안 분야 전문업체 써틱은 7일(현지시간) 자사 블로그를 통해 이 같은 내용이 포함된 '2분기 웹3 시큐리티' 보고서를 공개했다.

보고서에 따르면 2분기 피해금액은 8억7천만 달러(약 1조1300억 원)으로 집계됐다. 이는 1분기보다 43%  감소한 것인데, 지난 3월에 발생한 로닌네트워크 해킹이 워낙 대규모 피해(6억2천400 달러)를 일으켰기 대문에 생긴 착시로 봐야 한다. 실제로는 피해가 점차 증가하는 추세다.

2분기 웹3 프로젝트 주요 사고

써틱은 이 같은 추세라면 올해 웹3분야 전체 피해 규모가 전년 대비 223% 증가할 것으로 예상했다.

또 보고서에 따르면 웹3 프로젝트들은 해킹, 사기, 피싱 같은 전통적인 위협은 물론, 플래시론 공격 같은 비교적 새로운 위협까지 복합적으로 대응해야 하는 상황에 직면해 있다.

플래시론은 대출자가 아주 짧은 시간(블록에 트랜젝션이 들어와 승인되기까지 걸리는 몇 분 정도) 동안 무담보로 대량의 암호화폐를 대출하고 상환까지하는 탈중앙금융 상품이다. 차익거래, 레버리지 거래, 마진 거래 등에 활용하기 위해 등장했다. 

하지만 이를 악의적으로 사용할 경우 거래소에서 특정 토큰의 가치를 조작하거나 프로젝트에서 모든 거버넌스 토큰을 구매한 후 모든 자금을 인출하는 데 투표하는 등의 공격에 이용할 수 있다. 실제 지난 4월 스테이블코인(가치 안정토큰) 프로젝트 빈스토크에서 플래시론 공격이 발생했다.

보고서에 따르면 올해 2분기에만 27건의 플래시론 공격이 발생해, 총 3억800만 달러(약 4천억 원)가 사라졌다. 1분기 플래시론 공격으로 인한 피해액이 1천400만 달러(약 182억 원)인 것과 비교하면 한 분기 만에 22배나 증가한 것이다.

피싱 공격도 올해 1분기 106건에서 2분기 290건으로 170% 이상 증가한 것으로 나타났다. 디스코드는 대부분의 피싱 시도의 벡터로 활용되고 있다.

프로젝트 내부자들이 개발을 중단하고 자금을 들고 도주하는 '러그풀' 사고는 다소 줄었다. 올해 2분기 러그풀 피해액은 3천746만 달러로, 이는 직전분기보다 16.5% 감소한 수치다.

서트는 러그풀 피해액이 줄어든 배경에 대해 "크립토 윈터(암호화폐 시장 침체기)에 진입하면서 사기성이 짙은 프로젝트에 속을 만한 경험 적은 투자자들이 다 떠났기 때문"이라고 평가했다.

임유경 기자(lyk@zdnet.co.kr)