수이(Sui) 기반 DEX 세투스 프로토콜 2200억원대 해킹 사태 (2025)

수이 블록체인 최대 탈중앙거래소(DEX)인 세투스 프로토콜이 유동성 공급 계산에 쓰이는 오픈소스 수학 라이브러리 integer-mate의 오버플로우 방지 로직 결함을 악용한 공격을 받아 15분도 안 되는 시간 동안 약 2억2300만 달러 상당의 자산을 탈취당했다. 공격자는 checked_shlw 함수의 정수 오버플로우 검증 오류를 이용해 유동성 추가 시 토큰 델타값을 조작, 실제로는 예치하지 않은 자산을 담보로 대규모 인출을 실행했다. 탈취 자산 중 약 6000만 달러는 즉시 이더리움으로 브릿지를 통해 빠져나갔다. 이번 사건은 2025년 상반기 디파이(DeFi) 업계 최대 규모 해킹 사고 중 하나로 기록됐다. 세투스는 사건 직후 관련 스마트컨트랙트를 즉각 일시중단하며 추가 피해 확산을 막았다.

해킹 발생 직후 세투스와 수이 재단, 네트워크 검증인들이 긴급 공조에 나서면서 이더리움으로 빠져나가지 못하고 수이 체인에 남아 있던 약 1억6200만 달러가 몇 시간 만에 동결됐다. 수이의 검증인들이 공격자가 통제하는 주소를 온체인에서 차단하는 이례적 조치를 취한 것으로, 이는 탈취 자금의 완전한 유출을 막는 결정적 역할을 했다. 다만 이 조치는 소수의 검증인 협의만으로 특정 지갑의 자금 이동을 막았다는 점에서 블록체인의 탈중앙성·불가역성 원칙과 충돌한다는 비판도 함께 제기됐다. 업계에서는 이번 대응이 신속한 피해 최소화라는 성과와 동시에 레이어1 네트워크의 검열 저항성에 대한 근본적 질문을 남겼다고 평가했다. 이후 이 논쟁은 수이 생태계 전반의 거버넌스 신뢰도 문제로 확산됐다.

세투스 프로토콜은 공격자에게 탈취 자산 대부분을 돌려주면 2324 이더리움(약 600만 달러) 상당을 보상금으로 지급하고 법적 조치를 취하지 않겠다는 화이트햇 합의를 공개 제안했다. 같은 날 수이 재단은 X(트위터)를 통해 세투스가 동결된 자금 회수를 위한 커뮤니티 투표를 요청했다고 밝히며 절차를 공식화했다. 그러나 공격자는 이 제안에 응답하지 않았고, 이후 믹싱 서비스인 토네이도캐시(Tornado Cash)를 통해 자금 세탁을 시도하기 시작했다. 세투스 측은 공격자가 자금 세탁을 시도하는 것은 추적 가능한 무의미한 행위라며 결국 체포와 자산 회수는 시간문제라는 입장을 밝혔다. 이 국면은 온체인 협상과 법 집행 사이의 새로운 대응 모델로 업계에서 주목받았다.

동결된 1억6200만 달러의 자금을 공격자 지갑에서 다중서명(멀티시그) 트러스트 계좌로 강제 이전하는 거버넌스 투표가 검증인 스테이킹 지분 기준 90.9% 찬성, 1.5% 기권, 7.2% 불참으로 조기 가결됐다. 원래 투표 마감일은 6월 3일이었으나 참여율 조건이 충족되면서 예정보다 앞당겨 종료됐다. 이는 사실상 네트워크 참여자들이 다수결로 특정 지갑의 자산을 강제 이동시킨 전례 없는 조치로, 성공하면 피해자 전액 보전의 길이 열리지만 탈중앙 네트워크의 중립성 원칙을 훼손했다는 논란도 커졌다. 찬성 측은 명백한 범죄로 탈취된 자산을 정당한 소유자에게 돌려주는 예외적 구제 조치라는 논리를 폈다. 이 표결은 이후 다른 체인의 해킹 대응 방식에도 참고 사례로 거론됐다.

투표 가결에 따라 그동안 공격자 주소에 묶여 있던 1억6200만 달러 상당의 자산이 세투스, 수이 재단, 보안업체 오터섹(OtterSec)이 공동 관리하는 멀티시그 신탁 지갑으로 성공적으로 이전됐다. 이로써 피해를 본 유동성 공급자와 이용자들에 대한 보상 절차가 본격적으로 시작될 수 있는 기반이 마련됐다. 세투스는 자체 트레저리 자금과 수이 재단이 제공한 긴급 대출까지 동원해 보상 재원을 확보했다고 밝혔다. 이 과정에서 세투스와 수이 재단은 회수 자금의 배분 기준과 절차를 투명하게 공개하겠다고 약속했다. 업계 전문가들은 대규모 해킹 이후 몇 주 만에 절반 이상의 피해액을 실질적으로 회수한 이례적으로 신속한 사례로 이번 대응을 평가했다.

세투스 프로토콜이 해킹 발생 17일 만인 6월 9일 거래 기능을 전면 재개하며 정상 운영으로 복귀했다. 회수된 자금과 자체 재원을 투입해 유동성 풀을 원래 규모의 85~99% 수준까지 복원했으며, 이용자 예치 자산 대부분을 보전할 수 있었다고 발표했다. 재가동 이후 세투스는 스마트컨트랙트 감사를 강화하고 수학 라이브러리 검증 절차를 전면 재정비하겠다고 밝혔다. 이번 사건은 오픈소스 라이브러리의 미세한 정수 연산 오류 하나가 2억 달러가 넘는 손실로 이어질 수 있음을 보여준 대표 사례로 디파이 보안 업계에 반복 인용되고 있다. 동시에 수이 네트워크의 검증인 중심 긴급 대응 모델은 향후 다른 체인의 해킹 대응 표준을 둘러싼 논쟁에 계속 영향을 미치고 있다.