솔라나 봇 지갑서 9,400 SOL 해킹… 복사된 키가 원인?

블록체인 데이터 분석업체 비트쿼리(Bitquery)는 자동화된 거래 서비스 '블룸(Bloom)'과 연관된 48개 지갑에서 총 9,408 SOL(솔라나)이 유출되었다고 보고했습니다. 이 지갑들은 오랫동안 사용되지 않았던 봇 지갑까지 포함된 것으로 알려졌습니다.

이번 해킹 사건은 솔라나 생태계 내에서 자동화된 거래 서비스의 보안 취약점에 대한 우려를 다시 한번 증폭시키고 있습니다. 특히, 지갑의 개인 키가 유출되거나 복사되어 외부 공격자에게 넘어갔을 가능성이 제기되면서 투자자들의 불안감이 커지고 있습니다.

블룸 측은 자체적인 '출금 주소 잠금' 기능을 언급하며 보안 시스템에 문제가 없다고 주장했지만, 피해 사용자들의 설정을 정확히 알 수 없고 소유자의 서명만으로는 키 도용 여부를 단정하기 어렵다는 분석이 나오고 있습니다. 블룸은 결국 개인 키가 손상되거나 유출된 사실은 부인하면서도, 피해자들에게 전액 환불을 약속했습니다.

**사건의 전말: 복사된 키의 가능성**

비트쿼리의 분석 보고서에 따르면, 유출된 SOL은 01:03:07부터 01:04:41 UTC(협정 세계시) 사이에 발생한 트랜잭션을 통해 전송되었습니다. 보고서는 각 거래가 피해 지갑의 키로 서명된 단순 SOL 전송이었으며, 별도의 서명자나 토큰 승인이 없었다고 설명합니다.

솔라나 재단의 트랜잭션 문서에 따르면, 트랜잭션은 지시사항, 변경을 승인하는 계정의 서명, 그리고 최근 블록해시를 포함합니다. 서명 가이드에 따르면 모든 필수 서명자는 유효한 서명을 제공해야 합니다. 단일 개인 키로 제어되는 지갑의 경우, 해당 키를 소유하면 자금을 제어할 수 있습니다. 만약 공격자가 이 키를 복사했다면, 거래 서비스 내에 저장된 출금 주소를 변경하지 않고도 다른 목적지로 새로운 전송을 생성할 수 있습니다.

솔라나 가이드라인은 로컬 키를 보유하는 것과 키 관리 또는 관리형 지갑 백엔드를 통해 서명을 요청하는 것을 구분합니다. 유효한 소유자 키 서명은 복사된 키 자료 또는 서명 경로의 오용과 일관될 수 있습니다.

**블룸의 '출금 주소 잠금' 기능의 한계**

블룸의 FAQ는 사용자에게 출금 주소를 잠그라고 권고합니다. 이 기능은 잠금 상태에서는 출금 주소를 변경할 수 없으며, 잠금 해제 시 변경이 허용되기 전 24시간의 대기 시간이 시작된다고 설명합니다. 출금 가이드에서는 홈 화면 또는 `/withdraw` 명령을 통해 접근 가능한 출금 메뉴에 '주소 설정', '주소 잠금', '주소 잠금 해제' 기능을 배치했습니다.

이러한 '출금 주소 잠금' 기능은 일반적으로 서비스 계정이 손상되었을 경우, 해당 절차를 통한 출금 주소 변경을 방지하는 역할을 합니다. 즉, 공격자가 블룸 서비스 계정에 접근하더라도 즉시 자금을 다른 곳으로 빼돌리기는 어렵게 만드는 안전장치입니다.

하지만 이번 사건은 이 기능이 모든 유형의 키 유출이나 오용을 막지 못한다는 점을 시사합니다. 블룸의 제품 홈페이지는 익스텐션, 매니저, 텔레그램 제품이 동일한 실행 엔진을 공유한다고 설명합니다. 동일한 지갑 키가 다른 인터페이스를 통해 사용될 경우, 해당 키는 자금에 대해 동일한 권한을 유지합니다. 이는 키 자체가 유출된다면, 인터페이스의 종류와 상관없이 자금에 대한 접근이 가능하다는 것을 의미합니다.

**책임 공방과 향후 전망**

블룸은 10월 26일 업데이트를 통해 개인 키가 접근되거나 손상된 사실이 없다고 부인했습니다. 대신, 사건의 원인을 제3자 모듈의 원격 코드 실행 취약점으로 지목했으며, 영향을 받지 않은 지갑은 안전하다고 주장했습니다. 그러나 이러한 설명에도 불구하고, 실제 피해가 발생했다는 점과 자금이 어떻게 유출되었는지에 대한 명확한 설명 부족으로 인해 사용자들의 의구심은 완전히 해소되지 않고 있습니다.

이후 블룸은 10월 26일 늦게, 영향을 받은 9명의 사용자에게 총 9,408 SOL에 해당하는 금액을 전액 환불한다고 발표했습니다. 이는 사건 발생 후 신속하게 이루어진 조치로, 사용자들의 신뢰를 회복하려는 노력의 일환으로 보입니다.

하지만 이번 사건은 여전히 두 가지 중요한 문제를 남깁니다. 첫째는 손실에 대한 보상 문제이며, 둘째는 지갑에서 자금을 이동시킬 수 있었던 '권한'의 출처 문제입니다.

블룸이 주장하는 '제3자 모듈의 취약점'이 정확히 무엇인지, 그리고 그것이 어떻게 키 자체의 보안을 우회하거나 복사된 키의 사용을 가능하게 했는지에 대한 상세한 정보 공개가 필요합니다. 만약 제3자 모듈의 취약점을 통해 키 정보가 유출된 것이라면, 이는 블룸 뿐만 아니라 해당 모듈을 사용하는 다른 서비스에도 잠재적인 위협이 될 수 있습니다.

암호화폐 시장에서 자동화된 거래 서비스는 편리성과 효율성을 제공하지만, 그만큼 보안에 대한 높은 수준의 신뢰가 요구됩니다. 이번 사건은 이러한 자동화 서비스의 보안 구조와 잠재적 위험에 대해 다시 한번 경각심을 일깨워주는 사례가 되었습니다. 투자자들은 향후 유사한 서비스 이용 시, 해당 서비스의 보안 정책, 백업 시스템, 그리고 사건 발생 시의 대응 프로세스 등을 면밀히 검토해야 할 것입니다.