질리카, 하드웨어 지갑 취약점 노출…6억 8천만 ZIL 도난 확인

블록체인 플랫폼 질리카(Zilliqa)가 자체 개발한 하드웨어 지갑 애플리케이션에서 심각한 보안 취약점이 발견되어 6억 8천만 개 이상의 ZIL(질리카) 토큰이 도난당하는 사고가 발생했다고 밝혔습니다.

질리카는 자체적으로 발행한 보고서를 통해 이같은 사실을 공개하며, 이번 취약점으로 인해 최소 6,772개의 계정이 개인 키 노출 위험에 처했으며, 이 중 66건의 공격을 통해 총 683,130,969.66 ZIL이 탈취된 것으로 확인되었습니다. 이는 그동안 추정만 무성했던 보안 허점이 구체적인 피해 규모로 드러난 첫 사례입니다.

현재 질리카는 기존 네트워크의 거래를 일시 중단한 상태이며, EVM(이더리움 가상 머신) 호환 네트워크로의 마이그레이션 절차를 진행 중입니다. 다만, 이 마이그레이션 역시 외부 보안 감사 결과를 기다리고 있어 완료 시점은 아직 불투명한 상황입니다.

이번 사고로 인해 질리카 생태계 전반에 대한 투자자들의 신뢰가 흔들리고 있으며, 보안 강화 및 피해 복구 방안에 대한 관심이 집중되고 있습니다.

**취약점의 구체적인 발생 원인 분석**

질리카 측이 공개한 보고서에 따르면, 문제의 핵심은 하드웨어 지갑 애플리케이션이 서명 과정에서 난수 생성(entropy) 과정의 오류를 범했다는 점입니다. 애플리케이션은 총 40바이트의 무작위 데이터를 생성해야 했으나, 실제 서명 버퍼에는 그 중 32바이트만을 복사하고 나머지 8바이트의 패딩 데이터를 그대로 사용하여 8바이트의 유효한 난수 데이터를 손실했습니다. 이로 인해 모든 관련 논스(nonce) 값의 상위 64비트가 0으로 강제 설정되는 문제가 발생했습니다.

이러한 '편향된(biased)' 서명이 4건 이상 누적될 경우, 공격자는 공개된 블록체인 데이터를 통해 특정 계정의 개인 키를 단 몇 초 안에 일반적인 하드웨어만으로도 복원할 수 있게 됩니다. 이미 생성된 서명은 되돌릴 수 없기 때문에, 애플리케이션 자체를 수정하여 새로운 키 노출을 막을 수는 있으나, 이미 노출된 키를 복구하는 것은 불가능합니다.

이번 사고로 인한 피해 계정 규모를 집계할 때 사용된 '대규모 스캔'은 최소 5건의 네이티브 서명이 한 사인어 시대에 발생한 경우를 기준으로 삼았습니다. 따라서 수학적으로 개인 키 노출 가능성이 있는 4건의 서명만 발생한 계정은 이 집계에서 제외되었습니다. 질리카의 실시간 주소별 확인 도구는 더 엄격한 매개변수를 사용하여 4건의 서명 사례도 보고하고 있으나, 대규모 스캔을 동일한 조건으로 재실행하는 작업은 아직 완료되지 않았습니다.

**피해 발생 시점 및 대응 과정**

질리카 보고서에 따르면, 최초로 확인된 도난 거래는 지난 3월 4일에 발생했습니다. 이후 약 4개월 반이 지난 7월 19일, 암호화폐 거래소 쿠코인(KuCoin)이 자체 콜드 월렛에서 비정상적인 거래 내역이 발생하는 것을 인지하고 관련 사실을 질리카 측에 알렸습니다. 다음 날인 7월 20일, 공격자의 마지막 거래는 UTC 기준 오전 9시 19분 9초에 발생했으며, 질리카는 약 3시간 뒤인 오전 12시 59분경 기존 네트워크의 거래를 차단하는 조치를 취했습니다.

**책임 소재 및 향후 과제**

질리카의 보고서는 이번 보안 사고의 책임 소재에 대해서도 언급하고 있습니다. 질리카는 해당 취약점을 포함하는 애플리케이션의 초기 구현을 담당했으나, 해당 보안 허점은 레저(Ledger)사에서 수년간 유지보수를 진행하는 동안에도 발견되지 않았다고 밝혔습니다. 쿠코인의 제보가 실질적인 사고 발생 사실을 드러내는 계기가 되었습니다.

이러한 Zilliqa Ledger 버그는 EVM 호환이 아닌 기존 레거시 서명 경로에만 국한된 것으로 알려졌습니다. Zilliqa EVM 활동에는 직접적인 영향을 미치지 않지만, 생태계 전체의 신뢰 회복과 사용자 보호를 위한 즉각적인 조치가 요구되고 있습니다.

현재 질리카는 사용자들의 자산을 보호하고 안전한 전환을 지원하기 위해 최선을 다하고 있으며, EVM 마이그레이션을 위한 보안 감사 및 기술적 검토를 서두르고 있습니다. 이번 사고는 암호화폐 지갑 보안의 중요성을 다시 한번 일깨워주는 계기가 되었으며, 향후 관련 기술 발전 및 보안 강화 노력에 대한 귀추가 주목됩니다.

질리카의 투자자들은 이번 사태로 인한 자산 가치 하락 및 장기적인 생태계 전망에 대한 우려를 표명하고 있으며, 질리카 측의 투명하고 신속한 정보 공개와 실질적인 해결책 마련을 촉구하고 있습니다.