래디언트캐피털 5000만 달러 디파이 해킹 사건

2024년 9월 11일 디파이(DeFi) 대출 프로토콜 래디언트캐피털의 한 개발자가 전직 계약직원을 사칭한 텔레그램 메시지를 받았다. 메시지는 스마트컨트랙트 감사 관련 새로운 채용 기회를 언급하며 악성 ZIP 파일이 담긴 링크를 클릭하도록 유도했다. 개발자가 이 파일을 실행하면서 맥OS를 겨냥한 '인렛드리프트(InletDrift)'라는 백도어 악성코드가 설치됐고, 공격자는 이를 통해 개발자의 기기에 장기간 은밀히 접근할 수 있게 됐다. 공격자는 이후 한 달가량 정찰 기간을 거치며 여러 개발자의 기기를 추가로 감염시켰다. 이 사건은 이후 발생한 대규모 자금 탈취의 시작점이 됐다.

2024년 10월 16일 공격자들은 사전에 감염시킨 여러 개발자의 기기를 이용해 래디언트캐피털의 다중서명(멀티시그) 지갑 검증 절차를 우회하는 데 성공했다. 이들은 아비트럼(Arbitrum)과 BNB체인에 걸친 유동성 풀에서 약 5000만 달러 상당의 암호화폐를 빼돌렸다. 정상적인 서명자들에게는 악성코드가 조작한 위조된 거래 화면이 보여져, 실제로는 자금 탈취 트랜잭션임에도 정상 거래처럼 서명하게 만든 것으로 드러났다. 공격 직후 프로토콜의 총예치자산(TVL)은 약 7500만 달러 수준으로 급감했다. 래디언트 팀은 사고 직후 남은 자금 보호를 위해 긴급 대응에 나섰지만 이미 상당한 손실이 발생한 뒤였다.

해킹 발생 한 달여 만인 2024년 11월 중순 래디언트캐피털의 총예치자산은 약 500만 달러 수준까지 떨어지며 사실상 붕괴 수준에 이르렀다. 2023년 12월 3억8680만 달러에 달했던 TVL과 비교하면 1년 만에 98% 넘게 증발한 셈이다. 대규모 자금 탈취 소식이 알려지자 남은 예치자들이 앞다퉈 자금을 인출하면서 뱅크런과 유사한 상황이 벌어진 것으로 분석된다. 프로토콜 토큰인 RDNT 가격도 급락하며 투자자들의 손실이 확대됐다. 이 시점부터 업계에서는 래디언트캐피털의 정상적인 서비스 재개가 사실상 어려울 것이라는 전망이 나오기 시작했다.

래디언트캐피털은 2024년 12월 9일 보안업체 맨디언트(Mandiant)와 함께 진행한 조사 결과를 토대로, 10월 공격의 배후가 북한 정찰총국과 연계된 해킹조직이라고 공식 발표했다. 맨디언트는 공격자를 'UNC4736'으로 명명했으며, 이는 '시트린 슬릿(Citrine Sleet)' 또는 '애플제우스(AppleJeus)'로도 알려진 조직과 연계돼 있다고 밝혔다. 보안업체 파이어블록스는 이 공격이 이전 인도 거래소 와지르X(WazirX)와 래디언트캐피털을 겨냥한 공격과 수법이 유사하다며, 두 사건 모두 북한 소행이라고 짚었다. 북한은 최근 수년간 가상자산 탈취를 핵심 외화벌이 수단이자 핵무기 개발 자금원으로 활용해온 것으로 의심받고 있다. 이번 공식화로 디파이 업계는 국가 배후 해킹조직의 표적이 될 위험성을 다시금 절감했다.

래디언트캐피털을 운영하는 탈중앙화자율조직(DAO)은 2026년 6월 2일 해킹 이후 자금 회수와 신규 자본 유치, 성장 어느 것도 이루지 못했다며 프로토콜을 공식적으로 청산(wind down)하기로 결정했다고 발표했다. 프로토콜은 유지보수 모드로 전환돼 이용자들이 남은 자산 인출과 대출금 상환, 포지션 관리는 계속할 수 있지만, 신규 개발 자금 지원은 전면 중단됐다. 발표 직후 RDNT 토큰 가격은 약 4.2% 추가 하락했으며, 이미 센트 단위 이하로 거래되고 있던 토큰 가치는 사실상 회복 불능 상태에 이르렀다. 2024년 10월 해킹 이후 1년 8개월 만에 나온 이번 결정으로, 한때 4억 달러에 육박했던 디파이 프로토콜은 완전한 종말을 맞았다. 이는 북한발 해킹이 단일 사고를 넘어 프로토콜 전체의 존립을 무너뜨릴 수 있음을 보여준 사례로 남았다.