b14g 9700만 CORE 무단 인출, 스테이킹 보안 취약점

비트코인 스테이킹 프로토콜인 @b14g_network는 약 9700만 개의

$CORE 토큰이 무단으로 인출된 후 스테이킹 계약을 일시 중단했습니다.

인출된 토큰은 정오 기준으로 약 136만 달러 상당이었습니다. 프로토콜 측은 문제를 파악하고 추가적인 활동을 막기 위해 해당 계약을 동결했습니다.

b14g가 공개한 내용

9,700만 개의 CORE 토큰은 프로토콜을 통해 스테이킹되었으며 공격자가 관리하는 주소로 이동되었습니다. b14g의 추적에 따르면 약 6,800만 개의 CORE가 코어 체인에 남아 있으며, 거래소 파트너들은 공격자와 연결된 약 900만 개의 CORE를 동결했습니다.

동결된 양은 보고된 유출량의 약 9%에 해당합니다. 이 수치는 회수된 양이나 최종 순손실량이 얼마인지를 보여주지는 않습니다.

프로토콜을 통해 스테이킹된 BTC는 비트코인 ​​네트워크에 시간 잠금 상태로 유지되며 이번 사태의 영향을 받지 않았습니다. 개발팀은 핵심 개발팀, 보안 파트너 및 거래소와 협력하여 자금 추적 및 동결, 복구를 진행하고 있습니다. 또한 기술적 원인, 영향 및 피해 사용자 지원 방안을 포함한 사건 분석 보고서를 발표할 예정입니다.

Core DAO는 네트워크에 영향이 없었다고 밝혔습니다.

코어 블록체인을 지원하는 코어 DAO는 이번 취약점 공격을 인지하고 있으며 b14g 팀과 협력 중이라고 밝혔습니다. 코어 DAO는 b14g를 코어 및 바빌론 블록체인 상의 리스태킹 및 수익률 프로토콜이라고 설명했습니다. 또한, 네트워크의 합의 메커니즘, 검증자 및 스테이킹 계약은 이번 사건 발생 기간 동안 정상적으로 작동했으며, 네트워크에 직접 스테이킹된 CORE 토큰은 이번 사태와 무관하다고 덧붙였습니다.

여전히 몇 가지 의문점이 남아 있습니다. b14g는 출금의 기술적 원인이나 사용자 손실 규모를 정확히 밝히지 않았습니다. 또한, 남은 토큰 중 얼마나 많은 양이 네트워크에서 빠져나갔는지, 또는 다른 자산으로 전환되었는지에 대해서도 언급하지 않았습니다.

사용자들에게 가장 중요한 점은 조사가 진행되는 동안 계약이 일시 중단된다는 것입니다. b14g가 약속한 사건 보고서에서 더 자세한 내용이 공개될 예정입니다.

b14g 보안 사고가 드러낸 스테이킹 자산 관리의 취약점

b14g의 약 9,700만 CORE 무단 인출 사건에서 주목해야 할 부분은 피해 규모보다 스테이킹 자산이 어떤 권한 구조 아래 관리됐는가에 있다.

스테이킹은 일반적으로 블록체인 네트워크의 검증 과정에 참여하거나 자산을 위임해 보상을 받는 방식으로 알려져 있다. 그러나 실제 서비스에서는 사용자가 자산을 예치하는 계약과 보상을 계산하는 계약, 출금을 승인하는 관리자 권한이 서로 다른 구조로 운영될 수 있다.

이러한 설계에서는 블록체인 자체의 합의 알고리즘에 문제가 없어도 특정 서비스의 스마트계약이나 운영 권한이 침해되면 대규모 자산 이동이 발생할 수 있다.

따라서 이번 사건을 Core 블록체인 전체의 보안 실패로 해석하는 것은 적절하지 않다. 사고가 발생한 서비스의 자산 보관 방식과 권한 관리 구조를 별도로 분석해야 한다.

무단 인출이 발생하는 대표적인 기술적 경로

스테이킹 서비스에서 자산이 비정상적으로 인출되는 경로는 여러 가지다.

첫 번째는 스마트계약의 접근 제어 문제다. 특정 함수가 관리자만 실행할 수 있도록 설계돼 있어도 권한 검증이 불완전하다면 승인되지 않은 주소에서 출금 관련 기능을 호출할 가능성이 생긴다.

두 번째는 관리자 키 또는 운영 계정의 침해다. 스마트계약 코드 자체에 결함이 없더라도 자산 이동 권한을 가진 계정이 탈취되면 정상적인 계약 함수를 이용한 무단 인출이 발생할 수 있다.

세 번째는 외부 계약과의 연동 과정에서 발생하는 취약점이다. 스테이킹 서비스가 보상 분배, 유동성 공급, 자산 보관 등을 위해 여러 계약을 호출한다면 하나의 연동 지점에서 발생한 문제가 다른 계약으로 확산될 수 있다.

다만 이러한 경로는 일반적인 보안 위험을 설명한 것이다. b14g 사고의 실제 침해 원인이 위 세 가지 중 하나로 확정됐다는 의미는 아니다. 최종 원인은 프로젝트의 조사 결과와 온체인 거래 기록을 통해 판단해야 한다.

9,700만 CORE 인출과 실제 피해액은 구분해야 한다

암호화폐 보안 사고에서는 유출된 토큰 수량과 달러 기준 피해액이 함께 보도되는 경우가 많다. 하지만 두 수치는 동일한 개념이 아니다.

약 9,700만 CORE가 무단으로 이동했다는 것은 토큰의 수량을 의미한다. 이를 달러로 환산한 피해 규모는 기준 시점의 시장가격에 따라 달라진다.

또한 대규모 토큰이 공격자와 연관된 주소로 이동했다고 해서 해당 물량이 모두 시장에서 매도됐다는 뜻도 아니다.

실제 매도 압력을 판단하려면 유출 주소의 잔액 변화, 탈중앙화 거래소와의 상호작용, 중앙화 거래소 입금 여부, 자산 교환 기록 등을 확인해야 한다.

특히 유동성이 제한된 토큰은 대규모 매도 과정에서 가격이 급격히 변할 수 있다. 따라서 단순히 유출 수량에 당시 시장가격을 곱한 금액을 공격자가 실제 확보한 현금 가치로 해석해서는 안 된다.

스테이킹 계약 중단이 이용자에게 미치는 영향

보안 사고 이후 스테이킹 계약이 일시 중단되면 이용자에게는 두 가지 문제가 발생할 수 있다.

첫째, 추가적인 자산 유출을 차단하는 데 도움이 될 수 있지만 정상적인 입출금이나 보상 청구도 제한될 수 있다.

둘째, 사고 당시 자산이 어느 계약에 보관돼 있었는지에 따라 이용자별 피해 여부와 회복 절차가 달라질 수 있다.

예를 들어 스테이킹 원금과 보상 지급용 자산이 별도 계약에 분리돼 있다면 한쪽의 문제가 다른 자산 전체에 동일하게 영향을 미친다고 단정할 수 없다.

반대로 여러 기능이 하나의 자산 풀을 공유한다면 사고 범위가 넓어질 가능성도 있다.

따라서 이용자가 확인해야 할 것은 단순한 서비스 재개 일정만이 아니다. 사고 당시 계약 잔액, 이용자별 청구권, 보상 지급 가능 여부, 추가 출금 제한 조건 등이 명확하게 공개되는지가 중요하다.

감사받은 스마트계약도 보안 사고가 발생할 수 있는 이유

스마트계약 보안 감사는 코드의 알려진 취약점을 점검하고 설계상 위험을 발견하는 데 도움이 된다. 그러나 감사를 받았다는 사실만으로 모든 보안 위험이 제거되는 것은 아니다.

감사 이후 코드가 변경되거나 새로운 계약이 추가될 수 있고, 실제 운영 과정에서 관리자 권한이나 외부 서비스가 새로운 공격 경로로 작용할 수 있기 때문이다.

특히 업그레이드 가능한 스마트계약에서는 계약을 변경할 수 있는 권한이 누구에게 있는지, 변경에 시간 지연 장치가 적용되는지, 다중서명 승인이 필요한지 확인해야 한다.

스테이킹 프로젝트의 신뢰도를 평가할 때는 감사 보고서의 존재뿐 아니라 감사 범위, 계약 버전, 관리자 권한, 사고 대응 절차를 함께 살펴볼 필요가 있다.

향후 전망: 복구 발표보다 중요한 것은 검증 가능한 증거

b14g 사고 이후 시장의 관심은 자산 회수와 서비스 정상화 여부로 이동할 가능성이 있다.

그러나 프로젝트가 복구 계획을 발표했다는 사실만으로 보안 문제가 해결됐다고 판단하기는 어렵다.

실질적인 복구를 평가하려면 무단 인출 거래에 대한 분석, 영향을 받은 계약의 식별, 취약점 수정 여부, 외부 검증 결과, 이용자 자산 처리 계획이 구체적으로 제시돼야 한다.

또한 사고 이후 새로운 스마트계약으로 자산을 이전한다면 기존 계약과 신규 계약 사이의 권한 구조가 어떻게 달라졌는지도 확인해야 한다.

보안 사고 대응의 신뢰성은 발표 속도보다 외부에서 검증할 수 있는 정보의 수준에 달려 있다.

결론: 스테이킹 수익률보다 먼저 확인해야 할 위험

이번 b14g 사고는 스테이킹 서비스의 위험을 단순한 토큰 가격 변동이나 보상률 문제로만 평가해서는 안 된다는 점을 보여준다.

스테이킹 자산이 실제로 어디에 보관되는지, 누가 이동 권한을 갖는지, 긴급 상황에서 계약을 중단할 수 있는지에 따라 이용자가 부담하는 위험은 크게 달라질 수 있다.

특히 높은 보상률을 제공하는 서비스일수록 자산 운용 방식과 스마트계약 구조를 충분히 이해할 필요가 있다.

스테이킹 서비스의 안전성을 판단하는 핵심은 수익률이 아니라 자산 보관 구조, 권한 통제, 사고 대응 능력을 얼마나 투명하게 검증할 수 있는가에 있다.