저스틴 선의 폴로닉스 거래소 1억2600만달러 해킹 사태

2023년 11월 10일 블록체인 보안업체 펙실드와 사이버스는 저스틴 선이 소유한 가상자산 거래소 폴로닉스의 핫월렛에서 대규모 이상 자금 이동 정황을 포착해 경고했다. 조사 결과 공격자는 2억8800만 개 이상의 트론(TRX) 토큰과 865비트코인(BTC)을 포함해 총 1억2600만 달러 상당의 자산을 탈취한 것으로 드러났다. 이는 2023년 한 해 발생한 가상자산 해킹 중 최대 규모 중 하나로 꼽히며 업계에 큰 충격을 안겼다. 폴로닉스는 보안업체의 경고 12분 만에 지갑 시스템을 점검 모드로 전환하며 신속히 대응했다. 이번 해킹은 저스틴 선이 소유한 거래소의 보안 관리 체계에 대한 근본적 의문을 제기하는 계기가 됐다.

해킹 정황이 포착된 직후인 2023년 11월 10일 폴로닉스는 이용자 자산 추가 유출을 막기 위해 모든 입출금 서비스를 긴급히 중단하고 "시스템 점검"에 들어간다고 공지했다. 회사 측은 초기에는 정확한 피해 규모를 공개하지 않았지만 온체인 분석가들은 실시간으로 탈취된 자산의 이동 경로를 추적해 공개했다. 갑작스러운 서비스 중단에 이용자들 사이에서는 거래소의 지급 능력에 대한 불안감이 확산됐고 소셜미디어에서는 우려의 목소리가 쏟아졌다. 폴로닉스는 이용자 자산은 안전하게 보호될 것이라며 진화에 나섰다. 서비스 중단은 이후 닷새간 이어지며 거래소 운영에 큰 차질을 빚었다.

사태 다음 날인 2023년 11월 11일 저스틴 선은 개인 소셜미디어를 통해 해커가 탈취 자산의 5%를 '화이트해커 보상금'으로 갖고 나머지를 돌려주면 법적 책임을 묻지 않겠다는 조건을 내걸고 7일의 시한을 제시했다. 그는 동시에 폴로닉스가 피해를 입은 모든 이용자에게 손실을 전액 보상하겠다고 공개적으로 약속했다. 이러한 현상금 협상 전략은 과거 여러 대형 해킹 사건에서 활용된 방식으로, 해커와의 협상을 통해 자금 일부라도 회수하려는 시도였다. 선의 발표 이후 시장에서는 트론 생태계 전반의 신뢰도에 대한 우려도 함께 제기됐다. 그는 이번 사태의 책임을 지고 보안 체계를 전면 재점검하겠다고 밝혔다.

해킹 직후 공격자는 탈취한 자산을 여러 지갑으로 신속히 분산시키며 일부를 탈중앙화거래소(DEX)를 통해 USDC로 교환하는 등 자금세탁을 시도했다. 이 과정에서 해커는 골렘(GLM) 토큰 약 250만 달러어치를 잘못된 스마트컨트랙트 주소로 전송하는 실수를 저질러 해당 자금을 영구적으로 잃어버린 것으로 확인됐다. 블록체인 보안 전문가들은 탈취 자산이 이더리움 네트워크에서 350건이 넘는 거래를 통해 1억1400만 달러어치가 빠져나갔고, 트론 네트워크에서는 2억8800만 TRX(약 4200만 달러), 비트코인 네트워크에서는 865BTC(약 1500만 달러)가 각각 도난당했다고 분석했다. 정확한 침입 경로는 개인키 유출, 악성코드, 사회공학적 공격 등 여러 가능성이 제기됐으나 끝내 명확히 규명되지 않았다. 이번 사건은 2023년 한 해 가상자산 거래소를 대상으로 한 해킹 중 최대 규모로 기록됐다.

2023년 11월 15일 폴로닉스는 공식 성명을 통해 "복구 작업이 대부분 완료됐으며 플랫폼이 정상적으로 운영되고 있다"고 밝히며 닷새 만에 입출금 서비스를 재개했다. 회사는 업계 최고 수준의 보안 감사기관을 선임해 최종 감사와 검증 절차를 막바지까지 진행했다고 설명했다. 저스틴 선은 팀이 해커의 지갑 주소와 연계된 자산 일부를 성공적으로 식별해 동결하는 데 성공했다고 밝혀 자금 일부 회수 가능성을 시사했다. 그러나 탈취된 자금 전체가 회수됐는지, 이용자 보상이 언제 완료됐는지에 대한 구체적 후속 내용은 공개되지 않았다. 이번 사태는 저스틴 선이 소유한 여러 거래소의 반복되는 보안 취약점 문제를 다시 한번 부각시켰다.