완체인 카르다노 브릿지 1300만 달러 해킹 사태

2026년 7월 20일 오후(UTC 기준 14시46분~14시55분) 공격자가 완체인이 운영하는 카르다노-BNB체인 브릿지의 카르다노 측 금고에서 네 차례에 걸쳐 약 5억1520만 개의 NIGHT 토큰을 인출했다. NIGHT는 카르다노 생태계의 미드나이트(Midnight) 프라이버시 블록체인과 연계된 토큰으로, 이번 사고로 탈취된 금액은 약 1300만 달러 상당으로 집계됐다. 사고 직후 NIGHT 토큰 가격은 30% 넘게 폭락하며 사상 최저치인 0.016달러 부근까지 떨어졌다. 미드나이트 재단은 브릿지 사고와 별개로 미드나이트 블록체인 자체는 안전하다고 즉각 진화에 나섰다. 완체인은 사고를 인지한 직후 해당 브릿지의 가동을 전면 중단하고 원인 조사에 착수했다.

완체인은 사고 원인이 브릿지의 'TreasuryCheck' 검증 로직에 있던 서명 인코딩 결함이라고 확인했다. 브릿지는 14개의 가변 길이 리디머 필드를 구분자나 길이 식별자 없이 이어붙여 서명 메시지를 생성했는데, 이 때문에 약 3,110 NIGHT 인출을 승인하는 정상 서명이 무려 2억300만 개가 넘는 NIGHT 인출에도 그대로 재사용될 수 있는 허점이 존재했다. 공격자는 이 결함을 이용해 실제 승인된 금액의 약 6만5천 배에 달하는 자금을 빼돌린 것으로 분석됐다. 완체인은 이 취약점이 BNB체인 쪽이 아닌 카르다노 쪽 금고 검증 로직에 국한된 것이라고 설명하며 다른 브릿지 자산은 안전하다고 밝혔다. 이번 사고는 여러 개의 가변 데이터 필드를 하나의 서명으로 검증하는 크로스체인 브릿지 설계의 위험성을 다시 한번 부각시켰다.

보안 전문 매체 크립토타임스는 이번 사고를 심층 분석한 기사에서 공격자가 BNB체인에서 정상적으로 약 3,110 NIGHT를 인출할 때 발급받은 서명을, 필드 구분 없이 이어붙이는 방식의 결함을 이용해 카르다노 측에서 2억3백만 개가 넘는 NIGHT 인출에 재사용했다고 설명했다. 이는 서로 다른 두 체인 간 자산 이동을 검증하는 브릿지에서 서명 데이터의 무결성 검증이 얼마나 정교하게 설계돼야 하는지를 보여준 대표 사례로 꼽혔다. 분석에 따르면 공격자는 이런 방식으로 총 네 차례에 걸쳐 자금을 인출했으며, 각 인출은 자동화된 스크립트를 통해 짧은 시간 안에 연속적으로 이뤄진 것으로 추정된다. 보안업계는 이번 사고를 계기로 다른 크로스체인 브릿지 프로젝트들도 유사한 서명 검증 로직을 긴급 점검해야 한다고 권고했다. 이 분석 보도는 완체인 사고의 기술적 원인을 업계 전반에 알리는 계기가 됐다.

블록체인 매체 블록오노미는 이번 해킹으로 NIGHT 토큰 5억1500만 개, 약 1300만 달러가 탈취되면서 관련 생태계 전반의 신뢰도에 타격이 불가피해졌다고 전했다. NIGHT 토큰은 사고 발표 직후 30% 넘게 폭락했으며, 이는 카르다노 기반 프로젝트에 대한 투자 심리를 위축시키는 요인으로 작용했다. 완체인은 브릿지를 오프라인으로 전환한 상태를 유지하며 탈취된 자금의 온체인 흐름을 지속적으로 추적하고 있다고 밝혔다. 시장에서는 크로스체인 브릿지가 여전히 디파이 생태계에서 가장 취약한 공격 지점 중 하나라는 점이 이번 사고로 재확인됐다는 평가가 나왔다. 완체인 측은 재발 방지를 위한 스마트컨트랙트 전면 재감사 계획도 함께 예고했다.

완체인은 공식 성명을 통해 이번 브릿지 해킹의 배후로 추정되는 공격자에게 2026년 8월 6일까지 탈취 자금의 90%를 반환하면 나머지 10%를 화이트해커 포상금으로 인정하겠다는 최후통첩을 보냈다고 밝혔다. 이는 다수의 디파이 해킹 사고에서 활용돼 온 협상 방식으로, 자금 세탁이나 현금화가 쉽지 않은 공격자에게 법적 리스크를 줄이면서 이익을 챙길 퇴로를 제공하는 전략이다. 완체인은 마감 시한까지 반환이 이뤄지지 않을 경우 국제 사법 공조를 통한 추적과 법적 대응에 나서겠다고 경고했다. 2026년 8월 2일 현재까지 공격자 측의 반환 여부는 확인되지 않은 채 사건은 진행형으로 남아 있다. 이번 사태는 신생 크로스체인 프로젝트들이 대규모 자금을 예치받기 전 보안 감사 수준을 얼마나 강화해야 하는지에 대한 경각심을 다시 일깨웠다.