디파이 해킹 피해 20%, 최근 1년새 집중…브릿지 보안 ‘경고등’

베루스 이더리움 브릿지서 164억원 탈취…켈프다오 등 해킹 잇따라
브릿지 해킹 누적 피해액 4.8조원…코드 넘어 운영 인프라까지 공격
해킹 수법, 코드 오류→소셜 엔지니어링·거버넌스 탈취로 고도화
스마트컨트랙트 멀쩡해도 뚫려…운영 구조 노리는 신종 공격 확산

[이데일리 정윤영 기자] 디파이(DeFi·탈중앙화금융) 생태계를 겨냥한 해킹 공격이 확대되고, 갈수록 정교해지고 있다. 최근 1년간 발생한 피해 규모만 10년 누적 피해액의 20%에 육박할 정도다. 더구나 단순 스마트 컨트랙트 오류를 노리던 과거와 달리, 최근에는 여러 블록체인을 연결하는 ‘크로스체인 브릿지’와 운영 인프라 자체를 겨냥한 공격이 확산되고 있어 우려도 커지고 있다.

(사진=디파이라마)

19일 디파이라마(DefiLlama)에 따르면 2016년 이후 디파이에서 해킹 당한 총 가치 규모는 약 77억6300만달러(원화 약 11조6935억원)에 달한다. 이 가운데 최근 1년간 발생한 피해액은 약 13억3700만달러(약 2조142억원)로 전체의 17.2%를 차지했다. 같은 기간 브리지 해킹으로 발생한 총 피해액은 32억2300만달러로 늘어났다.

가장 최근 사례는 크로스체인 브릿지 ‘베루스(Verus)’ 해킹이다. 코인데스크에 따르면 지난 17일(현지시간) 베루스-이더리움 브릿지에서 토큰화 비트코인(tBTC) 103.6개, 이더리움(ETH) 1625개, USDC 14만7000개가 유출됐다. 피해 규모는 약 1158만달러(약 164억원)다. 베루스-이더리움 브릿지는 베루스 네트워크와 이더리움 간 자산 이동을 지원하는 연결 인프라다.

올해 들어 디파이 인프라를 겨냥한 대형 공격이 연이어 발생하고 있다. 지난달 18일에는 레이어제로(LayerZero) 기반 크로스체인 브릿지를 사용하는 켈프다오(KelpDAO)에서 약 11만6500개의 rsETH, 약 2억9200만달러가 탈취됐다. 올해 최대 규모의 디파이 해킹이다.

이처럼 반복되는 해킹 사고의 중심에는 크로스체인 브릿지가 있다. 브릿지는 서로 다른 블록체인 간 자산 이동을 가능하게 하는 핵심 인프라이지만, 외부 검증자, 다중 서명, 메시지 인증 구조 등에 의존하는 만큼 공격 지점도 많다.

베루스 해킹을 처음 감지한 블록체인 보안업체 블록에이드(Blockaid)에 따르면 해당 브릿지는 기본 검증 절차는 정확하게 검증했지만, 출금 자산이 실제 원본 체인에 존재하는지를 충분히 검증하지 않았다. 이에 따라 해커는 약 10달러 수준의 수수료만 내고 수백만달러가 넘는 자산을 인출할 수 있었다.

켈프다오 해킹 공격 역시 일반적인 스마트 컨트랙트 취약점 공격과는 성격이 달랐다. 레이어제로의 공식 성명에 따르면 해커들은 크로스체인 메시지를 검증하는 서버(RPC 노드) 2개에 침투해 내부 소프트웨어를 악성 버전으로 바꿔치기했다.

이후 정상 서버에 디도스(DDoS) 공격을 퍼부어 검증 시스템이 조작된 서버에만 의존하도록 유도했고, 그 결과 실제로는 발생하지 않은 거래가 유효한 것으로 처리되면서 자산이 빠져 나갔다. 스마트 컨트랙트 자체에는 문제가 없었으며 시스템은 정상적인 거래로 인식해 처리했지만, 입력된 데이터가 이미 조작된 상태였다는 게 핵심이다.

이렇듯 디파이 해킹 양상은 바뀌고 있다. 과거에는 키 유출이나 암호화 방식의 결함이나 스마트컨트랙트 취약점을 공략하는 것이 주요 원인이었다면, 최근에는 크로스체인 메시징 인프라, 운영 체계, 서명자 등 시스템 외곽 구조를 직접 노리는 방식으로 진화하고 있다.

업계에서는 반복되는 피해를 줄이기 위해 다중서명 구조 강화, 자금 이동 지연장치인 타임락(timelock) 도입, 크로스체인 거래 실시간 모니터링 등이 필요하다고 보고 있다.

가상자산 분석 플랫폼인 크립토랭크는 “강력한 보안 감사, 버그 바운티 프로그램, 그리고 더욱 근본적으로는 크로스체인 프로토콜을 위한 혁신적인 보안 아키텍처가 필요하다”며 “디파이 생태계가 성숙해짐에 따라 사용자 자산을 보호하고 생태계에 대한 신뢰를 유지하기 위해서는 보안 또한 그에 상응하는 속도로 발전해야 한다”고 제언했다.

정윤영 (young28@edaily.co.kr)