매직에덴, 과거 이더리움 NFT 상장 목록 허점에 경고

블록체인 기반 NFT 마켓플레이스 매직에덴(Magic Eden)이 과거 이더리움 호환 블록체인(EVM) 마켓플레이스에 등록되었던 NFT들이 결제 프로세서의 취약점에 노출될 수 있다고 경고했습니다. 이는 해당 마켓플레이스에서 2024년 2월부터 10월 사이에 NFT를 상장했던 사용자들에게 해당되는 내용입니다.

문제의 핵심은 리밋 브레이크(Limit Break)가 개발 및 운영하는 NFT 거래 프로토콜인 'Payment Processor V2'의 결함으로, 해당 계약에 대한 사용자들의 '무기한 승인' 권한이 아직 취소되지 않은 경우 발생할 수 있습니다. NFT를 상장할 때 사용자는 일반적으로 계약에 해당 NFT를 이동시킬 권한을 부여하는데, 이 권한은 사용자가 명시적으로 취소하기 전까지 유효하게 유지됩니다. 매직에덴은 2024년 2월에 EVM 마켓플레이스에서 해당 계약을 채택하여 거래를 정산하기 시작했으나, 같은 해 10월에 사용을 중단했고, 2026년 초에는 EVM 마켓플레이스 자체를 완전히 폐쇄했습니다. 따라서 현재 매직에덴에서 활성 상태인 NFT 상장 목록은 이번 취약점의 직접적인 영향을 받지 않았다고 회사 측은 밝혔습니다.

Yuga Labs의 블록체인 부문 부사장인 0xQuit은 공격자가 이 결함을 악용하여 10개의 Meebits, 50개의 Otherdeeds, 10개의 World of Women (WoW) NFT, 그리고 235개의 Desperate ApeWives NFT를 탈취했다고 밝혔습니다. 또한, 리밋 브레이크는 동일한 결함을 가진 'Payment Processor V3'의 작동을 중지시켰으나, V2 버전은 중지가 불가능했습니다. 이러한 상황 속에서 '화이트햇(whitehat)' 작전이 시행되었는데, 이는 공격자가 취약한 자산을 탈취하기 전에 선의의 해커들이 해당 자산을 안전한 곳으로 옮기는 구출 작전을 의미합니다. 0xQuit에 따르면, 이 작전을 통해 총 23,155개의 NFT가 약 570만 달러 이상의 가치로 구출되었으며, NFT 소유자들은 승인 권한을 취소한 후에 해당 NFT를 되찾을 수 있습니다. 다만, 이와 유사한 공격에 노출되었던 660 WETH(Wrapped Ether)는 시간 내에 회수되지 못했습니다.

매직에덴은 지난 2월 솔라나(Solana)와 자체 암호화폐 카지노인 다이스(Dicey)에 집중하기 위해 이더리움 및 비트코인 지원을 중단한 바 있습니다. 이후 멀티체인 지갑 서비스도 축소했습니다. 이번 사건은 암호화폐 사용자들에게 또 다른 불안감을 안겨주고 있습니다. 불과 하루 전, 익명의 해커들은 암호화폐 거래소 빗겟(Bitget)에서 3억 8천만 달러 이상의 이더리움 및 기타 암호화폐 자산을 탈취했으며, 이는 올해 발생한 암호화폐 해킹 사건 중 최대 규모입니다.

매직에덴은 사용자들에게 이더리움, 폴리곤(Polygon), 베이스(Base) 네트워크에서 Revoke.cash와 같은 서비스를 이용하여 'Payment Processor V2' 계약에 대한 '모든 것에 대한 승인' 권한을 즉시 취소할 것을 강력히 권고했습니다. 다만, 이미 이동된 토큰은 취소를 통해 복구되지 않는다는 점을 명확히 했습니다. 사용자들은 자신의 지갑이 해당 계약에 대해 승인된 내역이 있는지 확인하고, 불필요한 승인 권한은 즉시 해제하여 추가적인 자산 손실 위험을 최소화해야 합니다. 이번 사건은 중앙화된 결제 시스템에 의존하는 NFT 거래 과정의 보안 취약성을 다시 한번 드러냈으며, 탈중앙화된 거래 방식과 개인 키 관리의 중요성을 강조하는 계기가 되고 있습니다. 또한, 블록체인 프로토콜 개발 및 관리 업체의 보안 책임과 신속한 대응 능력이 사용자 자산 보호에 얼마나 중요한지를 보여주는 사례로 남을 것입니다.