카이버스왑 일래스틱 해킹과 해커의 회사 지배권 요구 사태

2023년 11월 23일 카이버스왑의 집중유동성 프로토콜 '일래스틱'이 해킹당해 이더리움, 아비트럼, 옵티미즘, 베이스, 폴리곤 등 여러 체인의 유동성 풀에서 약 4880만달러가 빠져나갔다. 공격자는 틱 간격 경계값 계산에서 0.00000000001% 수준의 극미세한 정밀도 오류를 발견해 검증 로직을 우회했고, 이를 통해 유동성을 인위적으로 두 배로 부풀린 뒤 자금을 빼갔다. 이는 정교한 수학적 결함을 악용한 사례로, 통상적인 재진입 공격이나 오라클 조작과는 다른 유형의 취약점이었다. 피해는 여러 블록체인 네트워크에 걸쳐 동시다발적으로 발생해 카이버 팀의 초기 대응을 더욱 어렵게 만들었다. 카이버스왑은 해킹 직후 모든 스마트컨트랙트 상호작용을 일시 중단하며 추가 피해 차단에 나섰다.

해킹 다음 날 카이버 네트워크 팀은 공격자에게 탈취 자금 중 일부를 화이트해커 바운티로 인정해줄 테니 대화에 나서 달라는 공개 성명을 냈다. 팀은 온체인 메시지를 통해 협상 채널을 열어두었다고 밝혔지만, 해커는 곧바로 응답하지 않았다. 이 시점까지만 해도 업계에서는 다른 디파이 해킹 사례처럼 자금 대부분이 반환될 수 있다는 낙관적 전망이 있었다. 그러나 이후 며칠간 해커의 반응이 예상과 전혀 다른 방향으로 흘러가면서 사태는 새로운 국면을 맞았다. 카이버 관련 토큰 가격은 해킹 소식에 급락한 뒤 좀처럼 회복하지 못했다.

11월 30일 해커는 온체인 메시지를 통해 상상을 뛰어넘는 요구 조건을 제시했다. 카이버 네트워크 회사의 모든 주식·지분·토큰에 대한 완전한 지배권, 카이버DAO에 대한 임시 전권, 회사의 모든 내부 문서 접근권, 회사 자산 전체의 소유권을 요구한 것이다. 그 대가로 해커는 경영진을 공정 가치에 사들이고 직원 급여를 두 배로 올리며 퇴사자에게는 전액 복리후생이 포함된 12개월치 퇴직금을 주겠다고 제안했다. 유동성 공급자 손실의 50%를 보전하겠다는 조건도 포함됐지만, 사실상 회사 자체를 통째로 넘기라는 요구여서 업계에 큰 충격을 줬다. 해커는 이 제안의 수락 시한을 12월 10일로 못 박으며 압박 수위를 높였다.

카이버 네트워크는 해커가 제시한 12월 10일 시한까지 회사 지배권을 넘기라는 요구를 공식적으로 거부했다. 팀은 성명에서 회사와 커뮤니티의 이익을 지키기 위해 협박성 요구에 응하지 않겠다고 밝혔다. 이로써 협상은 사실상 결렬됐고, 탈취된 자금 대부분의 향방은 불투명한 상태로 남게 됐다. 업계에서는 해커가 자금 세탁을 위해 다양한 체인 간 자금 이동을 시도할 것이라는 우려가 커졌다. 실제로 이후 해커의 지갑에서는 자금이 여러 경로로 분산 이동하는 정황이 포착됐다.

해킹 당시 폴리곤과 아발란체 네트워크에서 MEV(최대 추출 가능 가치) 봇 운영자들이 프론트러닝으로 약 570만달러 상당의 자금을 별도로 가로챈 사실이 확인됐다. 카이버 팀은 이 봇 운영자들과 개별 협상을 벌여 탈취분의 90%인 약 470만달러를 돌려받는 데 성공했다. 봇 운영자들에게는 나머지 10%를 바운티로 인정해주는 조건이 붙었다. 이는 본 해커와의 협상은 실패했지만 부수적으로 발생한 자금 유출 일부를 회수한 사례로, 전체 피해 규모를 소폭 줄이는 데 기여했다. 그러나 핵심 탈취 자금 4000만달러 안팎은 여전히 회수되지 않은 채로 남았다.

카이버 네트워크는 자체 트레저리를 활용해 피해자에게 보상금을 지급하는 그랜트 프로그램을 발표하고 1월 11일부터 23일까지 등록을 받았다. 피해자들은 두 가지 옵션 중 하나를 선택할 수 있었는데, 옵션A는 손실액의 60%를 3개월에 걸쳐 스테이블코인으로 받는 방식이었고 옵션B는 100%를 12개월에 걸쳐 나눠 받는 방식이었다. 이는 해커로부터 자금을 돌려받지 못한 상황에서 회사가 자체 재원으로 피해를 보전하겠다고 나선 이례적인 조치였다. 카이버는 이 과정에서 인력을 대폭 감축하며 비용을 절감했다. 보상 프로그램은 해커와의 협상이 완전히 실패로 끝난 뒤 회사가 선택한 사실상의 마지막 수습책이었다.

2024년 2월 1일부터 카이버 네트워크는 등록을 마친 피해자들에게 미국달러 연동 스테이블코인으로 보상금을 지급하기 시작했다. 해커는 끝내 신원이 특정되지 않았고, 탈취된 자금 대부분도 회수되지 못한 채 사건은 사실상 마무리 국면에 접어들었다. 이 사건은 디파이 프로토콜 해킹에서 해커가 금전적 보상을 넘어 회사 지배권 자체를 요구한 극히 이례적인 사례로 업계에 기록됐다. 카이버는 이후 조직을 축소하고 보안 감사 체계를 재정비하며 재기를 모색했다. 협상 결렬과 자체 보상으로 마무리된 이 사건은 디파이 프로토콜의 보안 취약점이 얼마나 치명적인 협박 수단으로 악용될 수 있는지를 보여준 사례로 남았다.