크라켄-서틱 입금 버그 분쟁, 300만 달러 인출을 둘러싼 화이트햇 대 갈취 공방

서틱은 훗날 공개한 설명에서 6월 5일 크라켄 입금 시스템에서 심각한 취약점을 식별했다고 밝혔다. 서틱은 취약점의 범위를 확인하기 위해 계정에 입금한 뒤 인출하는 테스트를 진행했다고 주장했다. 이 취약점은 최근 사용자 경험 개선 업데이트로 입금이 완전히 처리되기도 전에 계정에 자산이 반영되도록 한 설계에서 비롯된 것으로 알려졌다. 이 시점에 크라켄 보안팀에 경보가 울리지 않았다는 점이 이후 논란의 출발점이 되었다. 서틱의 시점 설명이 온체인 기록과 일치하는지는 이후 공방의 핵심 쟁점이 되었다.

6월 9일 크라켄은 한 보안 연구자로부터 이용자가 입금을 완료하지 않고도 계정 잔고를 부풀릴 수 있는 극히 심각한 버그에 관한 바운티 제보를 받았다. 크라켄은 몇 시간 안에 버그를 수정했고 조사 결과 이미 세 개 계정이 이를 악용해 총 약 300만 달러를 인출한 사실을 확인했다. 자금은 고객 자산이 아니라 크라켄 자체 재무 지갑에서 나간 것으로 설명됐다. 제보자는 개념 증명으로 단 4달러만 사용했다고 했으나, 크라켄은 다른 두 계정이 훨씬 큰 금액을 빼냈다고 주장했다.

6월 19일 크라켄 최고보안책임자 닉 퍼코코는 사건 경위를 공개하며 제보자가 두 명의 동료와 함께 거액을 인출했고 반환 요구에도 응하지 않았다고 주장했다. 그는 인출 규모를 알려주지 않으면 돌려주지 않겠다는 태도였다며 이는 화이트햇 해킹이 아니라 갈취라고 비난했다. 크라켄은 해당 연구원이 바운티 프로그램의 규칙과 업계 관행을 어겼다고 문제 삼았다. 이 발표로 사건이 암호화폐 업계에 크게 알려졌고 서틱이 자신들이 관련 업체임을 인정하게 되는 계기가 되었다.

같은 날 서틱은 크라켄의 버그를 찾은 것이 자사였다고 인정하면서 자금을 크라켄에 돌려보내고 있다고 밝혔다. 서틱은 크라켄 측이 반환 주소를 제공하지 않았고 요구 금액도 서틱의 기록과 맞지 않았다며 자체 기록에 근거해 송금한다고 설명했다. 또한 크라켄이 6시간이라는 비합리적인 반환 기한을 제시하며 직원들을 위협했다고 주장했다. 서틱은 자사가 크라켄을 더 큰 손실에서 구했다고 강조했으나, 크라켄은 이를 받아들이지 않아 양측 설명이 정면으로 엇갈렸다.

온체인 분석가들은 인출 자금이 이동한 주소들이 미국 제재 대상 믹서인 토네이도 캐시와 상호작용했고 체인지나우를 통해 자산을 교환한 흔적이 있다고 지적했다. 이는 일반적인 화이트햇 연구자의 행동과 맞지 않는다는 비판이 업계에서 제기됐다. 서틱은 이후 한 주소에서 약 1,100 MATIC(약 600달러)을 토네이도 캐시로 보낸 사실을 인정하며 자금이 거래소에 의해 동결되는 것을 피하려는 목적이었다고 해명한 것으로 보도됐다. 서틱의 시점 설명이 온체인 활동과 맞지 않는다는 주장도 이어져 논란은 크라켄과의 분쟁을 넘어 서틱의 평판 문제로 번졌다.

6월 20일 퍼코코는 서틱이 크라켄에 자금을 돌려보냈으며 수수료로 쓰인 소액을 제외하면 모두 회수되었다고 확인했다. 이로써 금전적 피해는 사실상 복구됐지만 양측의 책임 공방은 해소되지 않았다. 크라켄은 이번 사태를 바운티 프로그램이 악용된 사례로 규정했고, 서틱은 책임감 있는 공개 과정이었다는 입장을 유지했다. 이 사건은 보안 감사업체와 거래소 사이의 취약점 검증 범위와 윤리 기준에 관한 논쟁을 남겼다.