플레이댑(PlayDapp) 2억9000만달러 규모 PLA 토큰 해킹 사태

국내 게임사가 개발한 이더리움 기반 블록체인 게임 플랫폼 플레이댑은 2024년 2월 9일 스마트컨트랙트 취약점을 노린 첫 번째 공격을 받았다. 공격자는 컨트랙트의 접근제어 결함을 악용해 자신을 공식 발행 권한자로 등록한 뒤 PLA 토큰 2억개를 무단으로 발행했다. 당시 시세 기준으로 이 물량의 가치는 약 3650만달러에 달했다. 플레이댑 팀은 공격 직후 이상 거래를 감지하고 긴급 대응에 나섰지만 이미 상당량의 토큰이 시장에 풀린 뒤였다. 이 첫 공격은 나흘 뒤 벌어질 훨씬 더 큰 규모의 2차 공격의 전조가 됐다.

플레이댑 팀은 2024년 2월 12일 온체인 트랜잭션 메시지를 통해 공격자에게 탈취한 자산과 컨트랙트 권한을 돌려주면 100만달러의 '화이트해커' 보상금을 지급하겠다고 제안했다. 팀은 2월 13일 오전 3시(미 동부시간)까지 응답해 달라는 마감 시한을 제시하며 협상을 시도했다. 그러나 공격자는 이 제안에 응하지 않았고 오히려 추가 공격을 감행할 준비를 한 것으로 드러났다. 이러한 협상 시도는 탈취 규모를 줄이기 위한 긴급 조치였지만 결과적으로 실패로 돌아갔다. 이는 스마트컨트랙트 해킹 사건에서 프로젝트 팀이 흔히 시도하는 협상 전략의 한계를 보여준 사례로 남았다.

협상이 결렬된 직후인 2024년 2월 12일 공격자는 같은 취약점을 이용해 PLA 토큰 15억9000만개를 추가로 무단 발행했다. 당시 시세 기준으로 이 물량의 가치만 약 2억5390만달러에 달해, 이틀에 걸친 두 차례 공격의 피해액은 총 2억9000만달러 규모로 불어났다. 이는 2024년 한 해 발생한 암호화폐 해킹 사고 중에서도 손에 꼽히는 대형 사건으로 기록됐다. 대량으로 풀린 PLA 토큰은 여러 거래소와 탈중앙화 지갑으로 빠르게 분산돼 추적이 한층 어려워졌다. 블록체인 분석업체 엘립틱 등은 이 자금 흐름을 실시간으로 추적하며 플레이댑의 대응을 지원했다.

플레이댑은 피해가 눈덩이처럼 불어나자 2024년 2월 13일 PLA 토큰의 스마트컨트랙트 기능을 긴급히 일시 중단시켰다. 이 조치로 추가적인 무단 발행과 토큰 이동을 일단 차단해 이용자 자산을 보호하려 했다. 회사는 공식 공지를 통해 사건 경위를 설명하고 이용자들에게 상황을 투명하게 공유하겠다고 약속했다. 컨트랙트 중단과 함께 플레이댑은 블록체인 포렌식 업체 및 주요 거래소들과 협력해 탈취된 자금의 흐름을 추적하는 작업에 착수했다. 이는 사태 수습을 위한 본격적인 첫 단계로 평가됐다.

이번 사건은 2024년 2월 발생한 암호화폐 해킹 중 손실 규모 면에서 최상위권에 해당하는 사고로 업계에 기록됐다. 블록체인 보안업체들은 이 사건을 스마트컨트랙트의 발행 권한 관리 소홀이 얼마나 치명적인 결과로 이어질 수 있는지 보여주는 대표 사례로 꼽았다. 국내 블록체인 게임 업계에서도 자사 프로젝트의 스마트컨트랙트 보안 점검을 서두르는 계기가 됐다. 사건 이후 여러 보안 전문업체가 플레이댑 사고에 대한 상세 사후분석 보고서를 잇달아 발표했다. 이 사고는 블록체인 게임 산업 전반의 신뢰도에도 적지 않은 타격을 준 것으로 평가됐다.

플레이댑은 2024년 3월 11일 기존 PLA 토큰 보유자를 위한 새로운 PDA 토큰으로의 마이그레이션(전환) 절차를 담은 안내문을 공개했다. 회사는 해킹 이전 특정 시점의 보유량을 스냅샷으로 기록해 이를 기준으로 신규 토큰을 배분하는 방식을 택했다. 이는 무단 발행된 물량을 사실상 무효화하고 정상적으로 보유하던 이용자들의 자산을 보호하기 위한 조치였다. 마이그레이션 절차와 방법에 대한 상세한 튜토리얼과 자주 묻는 질문(FAQ)도 함께 공개돼 이용자들의 혼란을 줄이려 했다. 이 계획은 사건 발생 한 달여 만에 나온 구체적인 수습책으로 평가됐다.

플레이댑은 2024년 4월에도 블록체인 포렌식 업체, 주요 거래소, 수사기관과 협력해 탈취된 자금의 흐름을 계속 추적했다. 회사는 공격자가 탈취한 토큰을 현금화하려는 시도를 최대한 차단하기 위해 관련 거래소에 의심 계좌 동결을 요청했다. 그러나 공격자의 신원은 끝내 명확히 특정되지 않았고, 자금 상당 부분의 최종 행방도 완전히 파악되지 않은 것으로 알려졌다. 회사는 마이그레이션을 통한 이용자 보호에 우선순위를 두면서도 장기적인 법적 대응 가능성을 열어뒀다. 이 사건은 블록체인 게임 프로젝트의 스마트컨트랙트 보안 설계가 얼마나 중요한지를 업계 전반에 각인시킨 계기로 남았다.