tx(구 코리움) 크로스체인 브릿지 해킹 XRP 대량 탈취 사건

XRP 레저(XRPL)와 코리움(현 tx) 체인을 연결하는 크로스체인 브릿지가 8월 9일 오후 7시 16분(UTC 기준)부터 공격자의 집중 공격을 받기 시작했다. 공격은 약 97분간 이어지며 94건의 인출 거래를 통해 자금이 빠르게 빠져나갔다. 이 짧은 시간 동안 약 19만 9916 XRP, 당시 시세로 20만 달러 상당의 물량이 탈취된 것으로 파악됐다. 공격 규모는 브릿지 전체 예치금의 99.7%에 달해 브릿지 잔고가 493 XRP 수준까지 줄어들었다. 브릿지는 여러 차례의 내부·외부 감사를 거쳤음에도 이번 공격을 막지 못한 것으로 나타났다.

조사 결과 이번 해킹의 원인은 브릿지의 검증 로직에 있던 버그로 확인됐다. 릴레이어 소프트웨어는 브릿지 계정의 거래 내역 중 코리움 수신자 메모가 붙은 결제만 확인할 뿐, 실제로 그 결제가 브릿지 지갑으로 도달했는지는 검증하지 않는 결함을 갖고 있었다. 공격자는 자신이 통제하는 지갑들 사이에서 자체 거래를 일으키며 코리움 수신 메모를 붙여 가짜 입금 증거를 만들어냈다. 이렇게 조작된 입금 기록을 근거로 서로 다른 릴레이어들이 모두 같은 결함이 있는 코드를 돌리고 있었기에 인출 요청을 정상 승인해버렸다. 단순하지만 치명적인 검증 누락이 대규모 자금 탈취로 이어진 사례로 평가됐다.

공격자는 탈취한 XRP를 즉시 이더리움으로 전환한 뒤 소라체인(THORChain)을 거쳐 이더리움 네트워크로 옮긴 것으로 파악됐다. 이후 자금 전액을 자금세탁에 자주 활용되는 크립토 믹서 토네이도캐시에 예치하며 추적을 어렵게 만들려 시도했다. 이는 탈취 직후부터 자금 은닉을 염두에 둔 치밀한 사전 계획이 있었음을 시사했다. 여러 블록체인과 크로스체인 브릿지, 믹서를 연쇄적으로 거치는 수법은 최근 대형 크립토 해킹에서 반복적으로 관찰되는 패턴이었다. 이런 자금 이동 경로는 이후 수사기관의 자금 추적을 한층 어렵게 만드는 요인으로 작용했다.

브릿지 운영사 tx(옛 코리움·소라제닉)는 사고 인지 즉시 브릿지 서비스를 중단하고 취약한 코드를 수정했다고 밝혔다. 회사는 블록체인 포렌식 전문업체 및 보안업체와 협력해 탈취 자금의 흐름을 추적하고 있다고 설명했다. 다만 피해를 입은 이용자에 대한 구체적인 보상 방안이나 재가동 일정은 이 시점까지 공개하지 않았다. tx는 회수 능력이 있다고 주장하는 사기성 계정들에 속지 말라고 이용자들에게 별도로 경고했다. 회사는 '영향을 받은 이용자들을 위한 구제 방안을 모든 각도에서 검토하고 있다'며 법적 대응도 병행하겠다는 입장을 밝혔다.

tx는 도난당한 자금의 이동 경로와 공격자 관련 정보를 정리해 미국 연방수사국(FBI) 산하 인터넷범죄신고센터(IC3)에 공식 신고서를 제출했다. 이는 탈취된 자금을 추적하고 국제 공조를 통한 수사 가능성을 높이기 위한 조치로 풀이됐다. 크로스체인 브릿지에서 발생한 해킹인 만큼 자금이 여러 블록체인과 거래소를 거쳐 세탁될 위험이 컸다. 브릿지 발행 XRP가 현재 전액 담보로 뒷받침되지 않는 상태임을 회사가 공식 확인하면서 남은 이용자 자산 보호 문제도 부각됐다. 이번 사건은 신생 크로스체인 브릿지 프로젝트들의 보안 검증 체계가 여전히 미흡하다는 점을 다시 한번 부각시켰다.