하모니 호라이즌 브릿지 1억달러 해킹 사태 (2022)

2022년 6월 24일 블록체인 프로젝트 하모니가 운영하는 크로스체인 브릿지 '호라이즌'이 해킹당해 이더리움 등 약 1억달러 상당의 암호화폐가 탈취되는 사건이 발생했다. 호라이즌 브릿지는 하모니 블록체인과 이더리움 간 자산을 상호 전송할 수 있도록 해주는 서비스로, 공격자는 브릿지의 다중서명 지갑에 필요한 개인키 중 상당수를 탈취해 무단으로 자금을 인출한 것으로 파악됐다. 하모니 측은 해킹 발생 직후 브릿지 운영을 즉각 중단하고 사고 조사에 착수했으며, 블록체인 분석업체들에 도난 자금 추적을 의뢰했다. 이 사건은 2022년 한 해 동안 잇따랐던 크로스체인 브릿지 해킹 사고 중 하나로, 브릿지 프로토콜의 보안 취약점이 크립토 업계 전반의 위험 요인으로 부각되는 계기가 됐다. 하모니의 자체 토큰 ONE의 가격도 사고 발표 이후 급락했다.

하모니는 해킹 발생 직후 성명을 통해 호라이즌 브릿지의 모든 기능을 무기한 중단한다고 발표하고, 도난 자금을 자발적으로 반환하는 해커에게는 형사 고발을 하지 않고 화이트해커 보상금을 지급하겠다고 제안했다. 이는 과거 폴리네트워크 해킹 등에서 해커가 자금을 자진 반환한 사례를 참고한 조치였지만, 이번 사건의 공격자는 이런 제안에 응하지 않았다. 하모니는 동시에 커뮤니티에 피해 상황을 투명하게 공유하겠다고 약속하며 도난 자금의 온체인 이동 경로를 실시간으로 공개했다. 그러나 자금이 여러 지갑을 거쳐 세탁되기 시작하면서 회수 가능성은 점차 낮아졌다. 이 사건은 탈중앙화 브릿지 운영사가 대형 해킹 앞에서 실질적으로 취할 수 있는 대응 수단이 극히 제한적임을 보여준 사례로 지적됐다.

블록체인 분석업체 엘립틱은 사건 발생 닷새 만인 2022년 6월 29일 도난 자금의 세탁 패턴이 과거 북한 연계 해킹 조직 '라자루스 그룹'이 사용해온 수법과 매우 유사하다고 지적하며 배후로 라자루스를 최초 지목했다. 엘립틱은 탈취된 자금이 여러 개의 지갑을 거쳐 잘게 쪼개지고, 특정 탈중앙화 거래소를 통해 반복적으로 스왑되는 등 라자루스가 앞서 저지른 다른 사건들과 유사한 자금세탁 흐름을 보였다고 분석했다. 미국 재무부와 FBI도 이 시점부터 라자루스 연루 가능성을 염두에 두고 정밀 수사에 착수한 것으로 알려졌다. 라자루스 그룹은 앞서 로닌 네트워크 해킹, 여러 거래소 해킹 등을 통해 북한의 핵·미사일 개발 자금을 조달해온 것으로 국제사회에서 지목돼 온 조직이다. 이 분석은 이후 미국 정부의 공식 제재와 수사 방향을 결정짓는 초기 단서가 됐다.

하모니는 해킹 발생 약 2주 뒤 자체 국고 자금과 신규 토큰 발행(인플레이션)을 결합해 피해자들에게 손실을 보상하겠다는 초안 계획을 발표했으나, 기존 ONE 토큰 보유자들의 지분 가치를 추가로 희석시킨다는 이유로 커뮤니티의 거센 반발에 부딪혀 결국 철회했다. 이후 하모니는 토큰 추가 발행이나 프로토콜 하드포크 없이 기존 생태계 개발 기금을 활용해 점진적으로 보상하는 대안 계획을 다시 마련해 발표했다. 그러나 실제 보상 지급은 여러 차례 지연됐고, 피해 규모에 비해 회사가 동원할 수 있는 자금이 크게 부족하다는 지적이 계속 제기됐다. 이 과정에서 일부 피해 이용자들은 하모니 재단을 상대로 한 법적 대응까지 검토하는 등 갈등이 장기화됐다. 이 사건은 탈중앙화 프로젝트가 대형 해킹 피해를 자체적으로 복구하는 것이 얼마나 어려운지를 보여준 사례로 남았다.

미국 재무부 해외자산통제국(OFAC)은 2022년 8월 8일 이더리움 기반 자금세탁 도구인 '토네이도캐시'를 제재 대상으로 지정하며 미국인과 기업의 이용을 전면 금지했다. 재무부는 토네이도캐시가 2019년 설립 이후 70억달러가 넘는 가상자산 세탁에 이용됐으며, 특히 하모니 호라이즌 브릿지 해킹으로 탈취된 자금 중 9600만달러 이상이 이 서비스를 거쳐 세탁됐다고 밝혔다. 이번 제재는 탈중앙화금융(디파이) 프로토콜을 대상으로 한 미국 정부 최초의 전면 제재 사례로, 스마트 계약 자체를 제재하는 것이 적절한지를 둘러싼 법적 논쟁을 촉발했다. 제재 이후 토네이도캐시로의 자금 유입은 큰 폭으로 감소했지만, 이미 세탁이 진행된 하모니 피해 자금의 상당 부분은 추적이 사실상 불가능해진 상태였다. 이 사건은 크립토 해킹 자금 세탁을 막기 위한 각국 규제당국의 강경 대응 기조를 상징적으로 보여줬다.

도난 자금 중 상당액은 해킹 발생 후 약 7개월간 별다른 움직임 없이 지갑에 잠들어 있었으나, 2023년 1월 들어 약 6000만달러 상당이 프라이버시 강화 서비스 '레일건' 등을 통해 다시 세탁되기 시작한 정황이 포착됐다. 블록체인 분석업체들은 이런 장기 잠복 후 세탁 재개 패턴이 북한 연계 해킹 조직들이 수사 추적을 피하기 위해 흔히 사용하는 전형적 수법이라고 설명했다. 이 시점의 자금 이동은 미국 수사당국이 하모니 해킹의 배후를 공식적으로 확정하는 데 추가적인 증거로 활용된 것으로 알려졌다. 세탁된 자금의 최종 종착지는 대부분 추적이 차단된 상태였으며, 피해자인 하모니 이용자들에 대한 실질적 보상은 여전히 요원한 상황이었다. 이 사건은 크립토 해킹 자금이 한번 세탁 경로에 오르면 회수가 극히 어렵다는 업계의 오랜 우려를 다시 한번 확인시켰다.

미국 연방수사국(FBI)은 2023년 1월 23일 공식 성명을 통해 하모니 호라이즌 브릿지 해킹의 배후가 북한 정찰총국 산하 해킹 조직인 라자루스 그룹(일명 APT38)이라고 공식 확인했다고 발표했다. FBI는 이번 확인이 자체 수사와 민간 블록체인 분석업체들의 자금흐름 추적 결과를 종합한 결론이라고 밝히며, 탈취된 자금 상당 부분이 북한의 무기 개발 프로그램 자금원으로 활용될 우려가 있다고 경고했다. 이는 로닌 네트워크 해킹에 이어 라자루스가 연루된 것으로 공식 확인된 또 하나의 초대형 크립토 해킹 사례로 기록됐다. FBI는 관련 가상자산 지갑 주소를 공개하며 거래소와 서비스 제공업체들에 해당 주소와 관련된 거래를 즉시 차단할 것을 요청했다. 이 발표로 국제사회는 북한의 사이버 자금 조달 위협에 대한 경각심을 다시 높였고, 각국의 크립토 관련 제재·감시 체계 강화 논의도 한층 탄력을 받았다.

사건 발생 1년이 지난 2023년 중반까지도 탈취된 자금 대부분은 회수되지 못한 채 세탁 경로 속에서 사실상 자취를 감춘 상태로 남았다. 하모니 재단은 자체 개발 기금을 동원한 부분 보상을 이어갔지만, 애초 약속했던 전액 보상에는 크게 못 미치는 수준에 그쳤고 피해 이용자들의 불만은 계속됐다. 미국 정부는 라자루스 그룹을 공식 배후로 지목하고 관련 가상자산 지갑을 제재 대상에 올렸지만, 북한이라는 국가 행위자를 상대로 한 자금 환수나 법적 제재의 실효성에는 한계가 있다는 지적이 이어졌다. 하모니 블록체인 생태계 자체도 이 사건 이후 개발자와 이용자 이탈이 이어지며 이전의 영향력을 회복하지 못했다는 평가를 받았다. 이 사건은 크로스체인 브릿지가 크립토 생태계에서 가장 취약한 공격 지점 중 하나임을 다시 한 번 각인시킨 대표 사례로 남아 있다.