체인플립, 73만 달러 해킹 사고 후 트론 USDT 잔액 초기화
CryptoSlate2026년 9월 17일 17:000
크로스체인 스왑 프로토콜 체인플립(Chainflip)이 약 73만 달러 규모의 USDT 탈취 사건에 대응하여, 영향을 받은 유동성 공급자(LP)들의 트론(TRON) USDT 잔액을 0으로 초기화하는 복구 계획을 발표했습니다.
체인플립은 9월 12일 공개한 사고 보고서에서, 악의적인 공격자가 트론 네트워크의 특성을 이용해 6건의 출금을 두 번 지급하도록 유도함으로써 총 736,442.17 USDT를 빼돌렸다고 밝혔습니다. 이 과정에서 공격자는 이미 서명된 트랜잭션에 변조된 메모(memo)를 추가하는 방식을 사용했습니다. 체인플립의 소프트웨어가 이 메모를 잘못 해석하여, 정상적인 출금 외에 추가적인 환불을 발행하게 된 것입니다.
이 사고로 인해 체인플립의 트론 볼트(vault)에 남아있는 USDT는 유동성 공급자들이 받을 금액보다 훨씬 적은 상태가 되었습니다. 이에 따라 체인플립은 유동성 공급자들의 실제 계좌 잔액과 회수될 금액을 분리하여 관리하는 방식으로 문제를 해결하려 하고 있습니다.
체인플립의 복구 계획에 따르면, 먼저 영향을 받은 각 유동성 공급자의 사전 마이그레이션(pre-migration) USDT 잔액이 별도의 온체인(on-chain) 기록으로 저장됩니다. 이는 실제 계좌의 잔액이 0으로 초기화되더라도, 체인플립이 공급자들에게 빚지고 있는 금액을 명확히 보존하기 위한 조치입니다. 이 별도 기록은 향후 지급을 위한 근거가 될 예정입니다.
이후 체인플립은 현재 열려 있는 트론/USDT 주문 및 관련 포지션을 청산하고, 관련 대출 및 예치 포지션을 정리할 예정입니다. 프로토콜 및 관련 소프트웨어는 트론 네트워크상의 USDT를 'trxUSDT'로 지칭하고 있습니다. 이 모든 과정이 완료된 후, 유동성 공급자들의 실제 trxUSDT 계좌 잔액은 0으로 표시됩니다.
체인플립은 영향을 받은 유동성 공급자들에게 완전한 보상을 약속했습니다. 그러나 현재까지 자금 출처, 지급 일정, 혹은 회수된 정확한 금액에 대한 구체적인 정보는 공개되지 않았습니다. 체인플립은 이 별도의 기록이 완료된 상환과는 다르며, 추후 지급을 위해 보존되는 금액임을 강조했습니다.
보안 취약점 패치와 관련하여, 체인플립은 이제 특정 조건의 트론 전송에만 메모를 포함할 수 있도록 제한하는 새로운 로직을 적용했습니다. 수정된 소프트웨어는 일반 TRX 전송이나 직접적인 TRC-20 토큰 전송에 첨부된 메모만을 수락하며, 이전과 같이 추가 환불을 유발할 수 있었던 다른 계약 호출 내부에 래핑된 전송은 차단됩니다. 체인플립은 다른 모든 자산은 이번 사고의 영향을 받지 않았다고 밝혔습니다.
한편, 체인플립은 9월 16일까지 네트워크의 나머지 부분에서는 스왑 및 시세 제공 기능이 재개되었으나, 트론 경로는 여전히 제외된 상태라고 밝혔습니다. 이는 영향을 받은 경로의 공급자들이 계정 마이그레이션과 복구 프로세스를 기다려야 함을 의미합니다.
이번 사건은 크로스체인 프로토콜의 복잡성과 잠재적인 보안 위험을 다시 한번 부각시키는 계기가 되었습니다. 특히, 서로 다른 블록체인 간의 상호 운용성을 높이는 과정에서 발생하는 예상치 못한 기술적 문제나 보안 허점은 사용자 자산 보호에 큰 영향을 미칠 수 있습니다. 체인플립은 이번 사태를 통해 얻은 교훈을 바탕으로 더욱 강화된 보안 시스템을 구축하고, 투명한 정보 공개를 통해 사용자들의 신뢰를 회복하는 데 주력할 것으로 예상됩니다. 향후 체인플립의 복구 과정과 시장의 반응이 주목됩니다.