키체인(KiiChain) 코스모스 EVM 공용모듈 결함 1억4800만 KII 탈취 사건

2026년 8월 20일 코스모스 기반 EVM 체인 중 하나인 만트라(MANTRA)가 스테이킹 프리컴파일의 위임 후 잔액 기록 과정에서 발생하는 언더플로우 결함을 악용한 공격을 당했다. 이 시점에는 아직 해당 취약점이 코스모스 EVM 모듈을 공유하는 여러 체인에 공통으로 존재한다는 사실이 공개적으로 알려지지 않은 상태였다. 만트라 사건은 결과적으로 이틀 뒤 벌어질 훨씬 더 큰 규모의 연쇄 공격을 예고하는 전조였다. 코스모스랩스(Cosmos Labs)는 이후 이 결함이 4개월 전 이미 한 차례 검토됐으나 당시에는 심각도가 낮게 오판됐다는 사실을 뒤늦게 인정하게 된다. 이 초기 공격은 결함의 공유 특성상 파장이 만트라에 국한되지 않을 것임을 시사했다.

2026년 8월 22일 공격자는 코스모스 EVM 공용 모듈의 동일한 취약점을 이용해 키체인(KiiChain)과 또 다른 체인 TAC를 동시에 공격했다. 공격자는 먼저 컨트랙트가 배포되기 전에 그 배포 주소를 미리 계산해 베스팅(vesting) 계정으로 전환시킨 뒤, 해당 주소에 실제로는 베스팅 상태를 물려받는 컨트랙트를 배포하는 정교한 준비 과정을 거쳤다. 이후 계정 잔액보다 1웨이(wei) 많은 금액을 위임하는 방식으로 언더플로우를 유발해 EVM 쪽 잔액을 사실상 2의 256제곱에 가까운 값으로 부풀렸다. 공격자는 이렇게 확보한 잔액을 이용해 후속 거래를 통해 정상 이용자들의 토큰을 자신의 지갑으로 빼돌렸고, 결과적으로 18개 피해자 지갑에서 총 1억4832만6583.15 KII, 당시 시세로 약 970만 달러 상당을 탈취했다.

공격이 감지되자 키체인은 2026년 8월 22일 협정시각 22시50분58초, 블록 935만5723번에서 네트워크 전체를 강제 정지시켜 추가 피해를 막았다. 이 시점까지 탈취된 물량 중 54.4%에 해당하는 8070만 KII는 온체인에 동결된 채 묶여 있었지만, 나머지 45.6%인 6760만 KII는 이미 하이퍼레인(Hyperlane) 브릿지를 통해 바이낸스스마트체인(BSC)으로 넘어간 상태였다. 이 중 약 95%가 다른 자산으로 스왑돼 대략 160만 달러 상당이 사실상 회수 불가능한 상태로 현금화됐다. 공격자의 지갑 주소는 키체인과 BSC 양쪽에서 동일하게 특정됐지만 신원은 밝혀지지 않았다. 이 사건으로 크로스체인 브릿지가 탈취 자산의 신속한 현금화 통로로 다시 한번 악용된 사실이 드러났다.

2026년 8월 24일 코스모스 생태계의 핵심 개발 조직인 코스모스랩스는 공식적으로 여러 체인에 영향을 미치는 '진행 중인 보안 사고(ongoing security incident)'가 있다고 인정했다. 이는 만트라·키체인·TAC 등 서로 다른 체인에서 잇따라 발생한 공격이 우연이 아니라 코스모스 EVM 모듈이라는 공통 기반코드의 결함에서 비롯됐음을 공식화한 발표였다. 이 발표로 인해 문제의 심각성이 개별 체인 차원이 아니라 코스모스 생태계 전체의 인프라 보안 이슈로 격상됐다. 각 체인 운영진과 검증인들은 긴급 대응 체계를 가동하며 추가 피해 확산을 막기 위한 조치에 착수했다. 코스모스랩스는 이후 이 결함이 실제로는 넉 달 전부터 존재했다는 사실도 함께 인정하게 된다.

2026년 8월 25일 코스모스랩스는 코스모스 EVM 모듈을 사용하는 모든 체인에 대해 추가 피해를 막기 위해 즉시 운영을 정지할 것을 공식 권고했다. 이 권고 이후 네사(Nesa)를 비롯한 추가 체인들에서도 같은 결함으로 인한 영향이 확인되며 피해 범위가 총 6개 체인까지 확대됐다. 각 체인은 패치 적용 전까지 검증인 운영을 중단하고 이용자들에게 입출금 등 관련 기능 이용을 자제할 것을 안내했다. 이번 사태는 여러 독립 체인이 동일한 오픈소스 기반코드를 공유할 때 발생할 수 있는 시스템적 위험을 극명하게 드러낸 사례로 꼽혔다. 업계에서는 코스모스 생태계 전반의 코드 감사 체계에 대한 재검토 요구가 커졌다.

2026년 8월 28일 코스모스랩스는 깃허브에 공식 사후분석 보고서(포스트모템)를 게시하고, 이번 사고의 근본 원인이 된 취약점을 4개월 전 이미 한 차례 검토했지만 당시 심각도를 잘못 판단해 조기에 조치하지 못했다고 시인했다. 같은 날 키체인은 네트워크 운영을 재개하며 '사용자 자금 손실은 없다'는 입장을 발표했지만, 이는 브릿지를 통해 BSC로 넘어가 스왑된 약 160만 달러 상당의 실질적 손실과는 배치되는 주장이었다. 키체인 측은 자사가 수정 없이 그대로 사용한 코스모스 상위 코드에 결함이 있었을 뿐 자체 코드 문제는 아니라고 선을 그으며, 코스모스랩스가 보안 패치를 공개하면서 사전에 개별 체인들에 충분한 비공개 통지를 하지 않았다고 비판했다. 이로써 이번 사건은 기술적 결함 문제를 넘어 오픈소스 생태계 내 보안 취약점 공개 절차(코디네이티드 디스클로저)의 적절성을 둘러싼 논쟁으로까지 번졌다.