tx 브리지 해킹, XRP 20만개 증발…FBI에 신고했다

XRP 레저(XRPL)와 연결된 크로스체인 브리지가 해킹당해 20만 개에 가까운 XRP가 빠져나갔다. 브리지 운영사 tx(옛 코리움·Coreum)는 8월 9일(현지시각) 발생한 이 사고로 브리지 예치금이 거의 텅 비었다고 밝혔다. 공격자는 입금 검증 로직의 결함을 악용해 실제로는 XRP가 들어오지 않은 거래를 정상 입금으로 인식시켰다. tx는 도난 자금의 추적 내용과 공격자 관련 식별 정보를 담아 미국 연방수사국(FBI) 인터넷범죄신고센터(IC3)에 신고서를 제출했다고 밝혔다. 브리지는 사고 이후 계속 가동이 중단된 상태다.

94건의 결제, 97분 만에 빈털터리

tx가 운영하는 이 브리지는 2024년 3월 20일 출범해 XRP 레저와 tx 체인(옛 코리움 체인), 그리고 IBC(인터블록체인 커뮤니케이션) 호환 체인 110개 이상을 연결하는 역할을 해왔다. 온체인 분석에 따르면 공격자는 8월 9일 19시16분부터 20시53분까지(UTC, 한국시간 8월10일 오전 4시16분~5시53분) 97분 동안 94건의 결제를 실행해 브리지 예치금을 빼갔다. 이 과정에서 브리지 잔액은 약 20만410XRP에서 493.5XRP로 급감했다. 예치금의 99.7%가 사라진 셈이다.

tx의 기술 리드 레자 바샤시(Reza Bashash)는 이후 도난 규모를 19만8715.88XRP로 특정했다. 달러 기준으로는 20만 달러(약 2억8000만원, 1달러 1,413원 기준) 이상에 해당한다. 앞서 온체인 분석으로 집계된 브리지 예치금 방출량은 19만9916.3XRP였는데, 두 수치 사이에는 약 1200XRP의 차이가 있다. tx는 이 차이에 대해 아직 공식 설명을 내놓지 않았다.

가짜 입금 신호에 속은 검증 로직

tx는 이번 사고가 XRP 레저 자체의 결함이 아니라 브리지 소프트웨어의 버그에서 비롯됐다고 설명했다. 브리지는 릴레이어(relayer, 양쪽 체인을 감시하며 거래를 승인하는 프로그램) 28개 중 17개의 서명이 모이면 결제를 승인하는 다중서명(멀티시그) 구조로 운영된다. 문제는 릴레이어들이 브리지 메모(memo)가 붙은 거래를 정상 입금으로 인식하면서도, 그 거래의 실제 목적지 주소가 브리지 예치 지갑인지는 확인하지 않았다는 데 있었다.

바샤시는 소셜미디어를 통해 “tx 체인과 XRP 레저를 잇는 브리지는 XRPL 릴레이어 로직의 버그와 XRPL의 디폴트리플(DefaultRipple) 기능이 결합돼 뚫렸다. 공격자는 디폴트리플 특성상 릴레이어가 입금으로 오인하도록 크로스커런시(다른 화폐 간) 결제를 구성했다”고 설명했다. 실제로 릴레이어 21개가 공격자의 첫 가짜 입금을 사실로 인정했고, 이후 이런 방식으로 승인된 XRP 지급마다 28개 중 17개의 릴레이어 서명이 붙었다. 별도 분석을 진행한 XRPL.to는 XRP 레저상에서 진짜 XRP가 리플링(rippling)을 통해 빠져나간 흔적은 없으며, 모든 XRP 방출이 브리지 자체의 멀티시그 서명으로 이뤄졌다고 밝혔다. 개인키가 탈취된 게 아니라 여러 운영자가 똑같이 결함 있는 코드를 실행하며 같은 잘못된 판단을 내렸다는 의미다. tx는 “브리지가 배포 전 내부 및 서드파티 감사를 여러 차례 거쳤다”고 밝혔지만, 이번 결함은 감사 과정에서 걸러지지 않았다.

훔친 XRP, ETH 거쳐 토네이도캐시로

tx에 따르면 도난당한 XRP는 이더(ETH)로 전환된 뒤 크로스체인 프로토콜 토르체인(THORChain)을 통해 이더리움 네트워크로 옮겨졌고, 최종적으로 프라이버시 프로토콜 토네이도캐시(Tornado Cash)로 흘러들어갔다. 자금이 토네이도캐시에 들어간 이후에는 추적이 훨씬 어려워지지만, 그 이전까지의 거래 이력은 여전히 조사할 수 있다고 tx는 설명했다.

tx는 “소프트웨어가 브리지에 실제로 XRP를 전달하지 않은 거래를 입금으로 잘못 등록했고, 이를 근거로 tx 체인에서 보증되지 않은 XRP를 발행했다”고 인정했다. tx는 도난 자금의 체인 간 이동 경로 추적 내용과 공격자에 대한 추가 식별 정보를 담아 FBI IC3에 신고서를 제출했다고 밝혔다. 다만 IC3 신고 제출 자체가 FBI의 형사 수사 착수를 의미하지는 않는다. tx는 블록체인 포렌식 전문업체와도 협력하고 있다고 덧붙였다.

브리지 복구·피해 보상은 안갯속

tx는 취약한 코드를 이미 식별하고 수정했다고 밝혔지만, 추가 보안 점검이 끝나기 전까지 브리지 재가동 일정은 정해지지 않았다. tx는 브리지에서 지원하는 다른 자산들은 예치금이 완전히 보증되고 있지만 XRP만은 현재 완전히 보증되지 않은 상태라고 설명했다. tx는 피해 사용자에 대한 보상 방안을 검토 중이며 추후 구체적인 메커니즘과 일정을 공개하겠다고 밝혔다. 현재로서는 이용자들이 별도로 취할 조치는 없으며, 비공식 복구 서비스를 이용하지 말라고 당부했다.

이번 사고는 크로스체인 검증 로직의 결함이 반복적으로 공격 통로가 되는 업계의 오래된 문제를 다시 드러냈다. 관련 보도에 따르면 크로스체인 브리지 해킹으로 인한 손실액은 2021년 이후 40억 달러를 넘어섰다. 한편 이 시기 XRP 가격은 1달러 밑으로 떨어지며 2024년 11월 이후 처음으로 1달러 아래를 기록했고, 올해 들어 45% 하락해 역대 최고가 대비 74% 낮은 수준을 보이고 있다.