드리프트, 2억 8,000만 달러 탈취 사건은 북한 해커 소행으로 추정되는 6개월간의 공작

솔라나 기반의 탈중앙화 거래소 드리프트 프로토콜(Drift Protocol)이 4월 1일 발생한 보안 침해로 약 2억 8,000만 달러의 손실을 입었습니다. 프로젝트 측은 이번 사건이 북한과 연계된 것으로 추정되는 세력에 의해 6개월간 치밀하게 계획된 사회공학적 캠페인의 결과라고 밝혔습니다.

드리프트 팀은 토요일 성명을 통해 "예비 조사 결과, 드리프트는 조직적인 지원과 상당한 자원, 수개월간의 의도적인 준비가 필요한 구조화된 첩보 작전을 겪었다"고 발표했습니다.

이번 공격으로 프로토콜의 총 예치 자산(TVL) 중 50% 이상이 유출되었으며, 공격자들은 USDC, 솔라나(Solana), 래핑된 비트코인(wBTC) 등의 자산을 탈취했습니다. 코인게코 데이터에 따르면, 사건 직후 플랫폼의 거버넌스 토큰인 DRIFT 가격은 사상 최고가 대비 90% 이상 폭락하며 0.041달러까지 떨어졌습니다.

이번 익스플로잇은 스마트 계약 코드 이상의 DeFi 부문의 치명적인 취약점을 노출시켰으며, 국가 지원 단체의 조직적인 운영 보안 위협을 부각시켰습니다. 온체인 분석가들은 스테이블코인 발행사 서클(Circle)이 개입하지 않아 공격자들이 2억 3,000만 달러 이상의 도난된 USDC를 솔라나에서 이더리움으로 이동시킬 수 있었다고 주장하며 사건의 파장이 커졌습니다.

6개월간의 기만극

드리프트에 따르면, 작전은 2025년 10월경 퀀트 트레이딩 기업으로 위장한 인물들이 주요 암호화폐 컨퍼런스에서 드리프트 기여자들에게 접근하면서 시작되었습니다. 이후 6개월 동안 이 그룹은 여러 업계 행사에서 대면 미팅을 통해 신뢰를 쌓았습니다.

드리프트는 해당 인물들이 "기술적으로 능숙했고, 검증 가능한 전문적 배경을 가졌으며, 드리프트의 운영 방식에 익숙했다"고 설명했습니다. 신뢰가 형성된 후, 이들은 공유된 악성 링크와 도구를 사용하여 기여자들의 기기를 해킹한 것으로 알려졌습니다. 이를 통해 관리자 권한을 획득한 후, 솔라나의 '듀러블 논스(durable nonces)' 기능을 이용해 일련의 인출 명령을 미리 서명하고 실행하여 단 몇 분 만에 사용자 금고를 비웠습니다.

드리프트와 보안 분석가들은 이번 공격이 사회공학적 기법과 악성코드를 사용했던 2024년 10월 래디언트 캐피털(Radiant Capital) 해킹 사건의 배후와 동일한 그룹일 가능성이 높다고 보고 있습니다.

서클의 대응 부재에 대한 비판

여파는 드리프트를 넘어 USDC 발행사인 서클로 번졌습니다. 온체인 조사관 잭XBT(ZachXBT)는 공격자가 서클의 자체 크로스체인 전송 프로토콜(CCTP)을 이용해 자금을 솔라나에서 이더리움으로 브리징하는 동안, 서클이 2억 3,000만 달러 이상의 도난된 USDC를 동결할 수 있는 약 6시간의 여유가 있었다고 주장했습니다.

해당 자금은 정상 영업 시간 동안 100개 이상의 별도 트랜잭션을 통해 이동되었습니다. 비평가들은 서클이 과거에 규제 준수 및 법 집행을 이유로 약 1억 1,000만 달러의 자산을 동결한 전례가 있다는 점을 들어, 대규모 절도가 진행되는 동안 왜 행동에 나서지 않았는지 의문을 제기하고 있습니다. 서클은 현재까지 이 대응 부재에 대해 공식적인 해명을 내놓지 않았습니다. 이번 사건은 불법 자금 이동을 방지하는 데 있어 중앙화된 스테이블코인 발행사의 역할과 책임에 대한 중대한 질문을 던지고 있습니다.

드리프트는 이후 모든 프로토콜 활동을 중단했으며, 자금 반환을 협상하기 위해 공격자의 지갑으로 온체인 메시지를 보냈습니다.

이 기사는 정보 제공만을 목적으로 하며 투자 조언을 구성하지 않습니다.