폴카닷, 4개월 전 수정된 보안 허점 악용…138만 달러 피해
CryptoSlate2026년 11월 4일 23:500
폴카닷(Polkadot) 생태계가 해커의 공격으로 약 138만 달러의 손실을 입는 사건이 발생했습니다. 이번 공격은 개발팀이 이미 4개월 전에 보안 취약점을 수정했음에도 불구하고, 해당 패치가 실제 운영 시스템에 적용되지 않아 발생한 것으로 드러나 충격을 주고 있습니다.
사건의 발단은 지난 10월 24일부터 26일까지 발생한 공격으로 거슬러 올라갑니다. 당시 폴카닷의 새로운 스테이블코인인 dotUSD가 출시된 직후, 해커는 기존에 존재했던 보안 허점을 악용했습니다. 흥미로운 점은 이 취약점이 이미 올해 6월에 파리티 테크놀로지스(Parity Technologies)에 의해 발견되고 코드베이스 내에서 수정되었다는 사실입니다. 하지만 안타깝게도 해당 보안 패치가 영향을 받는 운영 시스템에 시기적절하게 배포되지 못했습니다.
파리티 테크놀로지스는 폴카닷 및 쿠사마(Kusama) 생태계에 집중하는 블록체인 인프라 기업으로, 이번 사고로 인해 보안 프로세스의 전반적인 재검토 및 개선이 불가피해졌습니다. 이번 사건은 특히 취약점 평가, 패치 배포, 그리고 비상 대응 메커니즘의 허점을 여실히 드러냈습니다.
이번 보안 사고는 dotUSD, 즉 폴카닷의 탈중앙화 스테이블코인과 관련이 깊습니다. dotUSD는 지난 10월, 네트워크의 탈중앙화 자율 조직(DAO)의 거버넌스 하에 출시되었습니다. 일반적인 중앙화된 기업이 발행하는 스테이블코인과 달리, dotUSD는 중앙 발행 주체 없이 운영되도록 설계되었습니다. DOT 보유자들은 네트워크의 OpenGov 시스템을 통해 의사 결정에 참여하게 됩니다.
하지만 이번에 악용된 취약점은 스테이블코인 출시 이전부터 존재했던 것으로 확인되었습니다. 파리티는 초기 단계에서 이 버그의 심각성을 '중간(medium)' 수준으로 분류했습니다. 당시에는 해당 취약점이 아직 출시되지 않은 dotUSD와 어떻게 상호작용할 수 있는지에 대한 충분한 고려가 이루어지지 않았기 때문입니다. 그러나 공격이 발생하고 재정적인 영향이 명확해진 이후, 개발팀은 이 취약점을 '치명적(critical)' 수준으로 격상했습니다.
이번 공격은 이미 10월 20일, 해당 취약점을 처음 보고했던 보안 연구원이 코드 수정에 대한 내용을 언급하는 포럼 게시글을 올린 이후에 발생했습니다. 파리티 측은 해당 연구원이 회사의 버그 바운티 규칙을 위반했다는 통보를 받은 후 해당 게시글을 삭제했다고 밝혔습니다. 파리티는 이 공개적인 언급이 공격자에게 취약점을 식별하고 악용할 수 있는 충분한 정보를 제공했을 가능성이 있다고 추정하고 있습니다.
해커는 궁극적으로 폴카닷의 에셋 허브(Asset Hub)에 있는 크로스체인 메시징 시스템을 조작했습니다. 이를 통해 사용자 계정에서 토큰을 실제로 제거하지 않고도 dotUSD의 기록된 공급량을 감소시켰습니다. 이러한 공급량 왜곡은 네트워크 내 DOT/dotUSD 유동성 풀의 가격을 불안정하게 만들었고, 결과적으로 거래자들이 인위적으로 조작된 환율로 dotUSD를 DOT로 교환할 수 있게 되었습니다.
이 과정에서 폴카닷 재무부는 해당 유동성 풀의 유일한 공급자로서 약 138만 1천 달러에 달하는 손실을 고스란히 떠안게 되었습니다. 파리티 측은 이번 사고로 인해 사용자들이 직접적인 자금 손실을 입지는 않았으며, dotUSD는 여전히 USDT로 완전히 담보되고 있다고 강조했습니다. 다만, 취약점을 악용한 인물이 후속 차익 거래를 통해 이익을 얻었는지 여부는 아직 명확하게 밝혀지지 않았습니다.
사건의 복잡성은 해커가 공격을 중단시키기 위해 의도된 긴급 차단 조치마저 우회했다는 점에서 더욱 커집니다. 지난 10월 24일, 의심스러운 활동이 감지되었을 때, 스노우포크(Snowfork)는 합의 릴레이(consensus relayers)를 중단시키는 조치를 취했습니다. 그러나 공격자는 이러한 비상 조치를 회피하며 악의적인 행위를 지속했습니다. 이는 폴카닷 시스템의 비상 대응 및 복구 메커니즘에 심각한 허점이 존재함을 시사합니다.
이번 사건은 블록체인 프로젝트에서 보안 패치의 신속하고 완벽한 배포가 얼마나 중요한지를 다시 한번 일깨워주고 있습니다. 또한, 취약점 평가 과정에서 향후 출시될 신규 상품과의 잠재적 상호작용까지 고려하는 더욱 포괄적인 접근 방식의 필요성을 강조합니다. 파리티 테크놀로지스는 이번 사건을 계기로 보안 감사, 패치 관리, 그리고 위기 대응 시스템을 전면적으로 재구축하겠다고 밝혔습니다. 이러한 조치들이 폴카닷 생태계의 신뢰를 회복하고 향후 유사한 사건의 재발을 방지하는 데 기여할 수 있을지 귀추가 주목됩니다.