폴카닷 지갑, 20개월간 개인키 노출…자산 탈취 위험

폴카닷(Polkadot) 네트워크의 '피어리스 월렛(Fearless Wallet)' 브라우저 확장 프로그램에서 약 20개월간 사용자의 개인키가 유출되는 심각한 보안 사고가 발생했다. 이로 인해 폴카닷 토큰(DOT) 보유자들이 자산 탈취 위험에 노출되었으며, 최근 도입된 빠른 출금 기능으로 인해 피해 복구가 더욱 어려워질 수 있다는 우려가 제기되고 있다.

폴카닷 커뮤니티 재단은 지난 10월 21일, 서드파티로 개발된 피어리스 월렛 브라우저 확장 프로그램이 2025년 2월부터 사용자의 개인키를 유출해왔다고 경고했다. 이 정보는 폴카닷 기술 펠로우십의 조사 결과 확인되었으며, 악성 코드가 지갑 인증 정보를 탈취할 수 있는 능력을 가지고 있는 것으로 파악되었다. 재단은 해당 확장 프로그램을 사용한 사용자들에게 즉시 다른 지갑을 사용하여 새로운 개인키를 생성하고 남은 자산을 옮길 것을 강력히 권고했다.

재단은 "만약 피어리스 월렛 브라우저 확장 프로그램을 사용했다면, 새로운 지갑으로 새로운 키 쌍을 생성하고 최대한 빨리 자산을 이동시키기 바란다"고 밝혔다. 이번 사고는 또한 지난 7월 네트워크 업그레이드를 통해 DOT 언스테이킹(unstaking) 지연 시간을 최대 28일에서 1~2일로 단축시킨 결정에 대한 의문을 증폭시키고 있다. 이 변화는 토큰 보유자들의 유동성을 개선했지만, 동시에 해킹된 지갑에서 자금을 복구할 수 있는 시간을 단축시키는 결과를 초래했다.

폴카닷 재단에 따르면, 현재까지 8명의 사용자가 17,286 DOT가 관련된 비정상적인 거래를 신고했다. 블록체인 보안 기업 슬로우미스트(SlowMist)는 영향을 받은 확장 프로그램 버전을 3.0.1 및 3.0.3부터 3.0.5까지로 특정했다. 이 기업에 따르면, 악성 코드는 사용자가 지갑을 잠금 해제할 때 복구 구문, 개인키, 키스토어 파일을 수집하여 HTTP 요청을 통해 외부 서버로 전송할 수 있다. 또한, 원격 구성 메커니즘을 통해 악성 동작을 켜거나 끌 수 있어 사용자가 침해 사실을 인지하기 더 어렵게 만들 수 있었다.

수사관들은 문제가 된 코드가 6월에 소스 코드에서 제거되었고, 원격 스위치는 10월에 비활성화되었다고 밝혔지만, 이미 공격자에 의해 노출된 자격 증명은 무효화될 수 없다고 덧붙였다.

**폴카닷의 스테이킹 업그레이드, 복구 시간 단축의 그림자**

피어리스 월렛 보안 유출 사건은 폴카닷이 스테이킹 인프라에 상당한 변화를 도입한 지 3개월 만에 발생했다. 레퍼렌덤 1910(Referendum 1910)에 따라, 네트워크는 노미네이터(nominator)에 대한 슬래싱(slashing) 페널티를 제거하고 최대 언바인딩 기간을 28일에서 2일로 단축했다. 지난 7월 6일에 발효된 이 변경은 참가자들이 검증자(validator)와 동일한 슬래싱 노출 위험 없이 더 빨리 자금에 접근할 수 있도록 하여 스테이킹을 더욱 매력적으로 만들고자 하는 의도였다.

그러나 빠른 출금은 보안 취약점을 증가시킬 수 있다는 지적을 받고 있다. 전문가들은 스테이킹된 자산을 언스테이킹하는 데 걸리는 시간이 단축될수록, 해커가 자금을 탈취한 후 해당 자산을 인출 가능한 상태로 만들기까지의 시간이 줄어든다는 점을 우려해왔다. 이는 곧 피해자가 자산을 복구할 수 있는 창이 매우 좁아진다는 것을 의미한다.

과거에는 28일이라는 긴 언바인딩 기간 동안, 만약 지갑이 해킹당하더라도 사용자는 자산이 완전히 인출 가능해지기 전에 이를 인지하고 대응할 시간을 충분히 가질 수 있었다. 하지만 이제는 1~2일 안에 모든 절차가 완료될 수 있어, 해킹 사실을 뒤늦게 인지했을 때는 이미 자산을 되찾기 어려운 상황이 발생할 수 있다.

**개인키 노출과 자산 탈취의 위험성**

개인키는 암호화폐 지갑에 대한 절대적인 통제권을 부여하는 가장 중요한 정보이다. 개인키가 유출되면, 해당 지갑에 보관된 모든 암호화폐는 누구든지 마음대로 이동시키거나 판매할 수 있게 된다. 피어리스 월렛 확장 프로그램의 경우, 사용자가 지갑을 열 때 입력하는 복구 구문, 개인키, 키스토어 파일 등이 서버로 전송된 것으로 알려졌다. 이는 사용자가 인지하지 못한 사이에 자신의 자산에 대한 모든 권한이 타인에게 넘어갔음을 의미한다.

이번 사건은 사용자들이 반드시 신뢰할 수 있는 출처에서 제공된 소프트웨어만을 사용하고, 정기적으로 개인키를 안전하게 관리하는 것이 얼마나 중요한지를 다시 한번 일깨워준다. 특히 브라우저 확장 프로그램의 경우, 시스템 권한을 광범위하게 요구하는 경우가 많아 더욱 신중한 접근이 필요하다.

**복구 전문가들의 경고**

실제로 자산 복구 및 보안 전문가들은 수개월 전부터 스테이킹 자산의 출금 지연 시간 단축으로 인해 발생할 수 있는 보안 위험에 대해 경고해왔다. 이들은 유동성 확보라는 긍정적인 측면 뒤에 숨겨진, 자산이 탈취되었을 경우 개입할 수 있는 시간 창이 극도로 좁아진다는 점을 지적하며, 잠긴 자산을 어떻게 보호할 수 있을지에 대한 의문을 제기해왔다. 이번 피어리스 월렛 사태는 이러한 경고가 현실화되었음을 보여주는 사례로 볼 수 있다.

폴카닷 커뮤니티는 이번 사건을 계기로 서드파티 개발 도구의 보안 감사 강화 및 사용자들에게 대한 더 명확한 보안 권고 사항을 제공할 필요성에 직면하게 되었다. 또한, 네트워크 자체의 보안 업데이트와 더불어 사용자가 사용하는 개별 지갑 및 도구의 보안 수준을 높이는 것이 암호화폐 생태계 전체의 안전을 위해 필수적임을 보여준다.