웜홀 브리지 3억2500만달러 해킹과 점프크립토의 전액 보전

2022년 2월 2일 공격자는 솔라나와 이더리움 등을 연결하는 크로스체인 브리지 웜홀의 토큰 브리지에서 이미 사용이 중단된 낡고 취약한 서명 검증 함수를 악용해 담보 없이 12만개의 래핑 이더리움(wETH)을 솔라나 블록체인에 무단으로 발행했다. 당시 시세로 약 3억2500만달러에 달하는 이 물량은 2022년 초까지 사상 최대 규모의 디파이 해킹이자, 역대 두 번째로 큰 디파이 공격으로 기록됐다. 발행된 wETH 중 9만3750개는 곧바로 이더리움 체인으로 다시 옮겨졌으며, 나머지는 솔라나 생태계 내에 남았다. 이 사건은 서로 다른 블록체인을 연결하는 브리지 구조가 스마트컨트랙트 코드 한 줄의 결함만으로도 대규모 자금 유출로 이어질 수 있음을 여실히 보여줬다. 웜홀 팀과 개발사 서터스원은 사건 인지 즉시 브리지를 오프라인 상태로 전환했다.

웜홀 팀은 사건 발생 당일 공격자의 이더리움 지갑 주소로 트랜잭션에 메시지를 담아 전송하는 방식으로 1000만달러의 버그바운티를 제시하며 탈취 자금 반환을 공개 제안했다. 이는 화이트햇 해커에게 흔히 사용되는 협상 방식으로, 탈취 자금 전액을 되찾기 어려운 상황에서 최소한의 손실로 사태를 봉합하려는 시도였다. 그러나 공격자는 이 제안에 응하지 않았고 탈취한 자금은 이후 오랫동안 별다른 움직임 없이 지갑에 그대로 남아 있었다. 이는 이후 벌어진 여러 크로스체인 브리지 해킹 사건에서도 반복적으로 시도되는 협상 패턴의 초기 사례가 됐다. 결국 자금 회수는 실패로 돌아갔고, 문제 해결은 전적으로 웜홀 배후의 자본력에 의존하게 됐다.

웜홀 개발사 서터스원의 모기업인 벤처캐피털 점프크립토는 사건 발생 하루 만인 2022년 2월 3일 자체 자금으로 12만 ETH를 웜홀의 솔라나-이더리움 브리지에 긴급 투입해 탈취된 물량을 전액 보전했다고 발표했다. 이는 탈취 규모에 상응하는 자금을 민간 기업이 자체 부담으로 즉각 메운 이례적 사례로, 크립토 업계에서 대규모 해킹 사고 이후 가장 신속한 손실 복구 사례 중 하나로 꼽힌다. 웜홀은 이 조치 덕분에 wETH의 1대1 담보 비율을 다시 회복했다고 공식 발표하며 "자금은 안전하다"고 이용자들을 안심시켰다. 점프크립토의 신속한 개입이 없었다면 웜홀 생태계 전체에 대한 신뢰 붕괴와 추가적인 시장 충격으로 이어질 수 있었다는 평가가 나왔다. 이 사건은 대형 벤처캐피털이 배후에 있는 프로젝트와 그렇지 않은 프로젝트 간 위기 대응 능력의 격차를 보여준 사례로도 언급된다.

웜홀 해킹은 2022년 초 기준 역대 최대 규모의 디파이 해킹으로 기록되며 업계 전반에 크로스체인 브리지의 보안 위험성에 대한 경각심을 크게 높였다. 이후 같은 해 3월 발생한 6억달러 규모의 로닌 브리지 해킹을 비롯해 여러 대형 브리지 해킹 사건이 잇따르면서, 서로 다른 블록체인을 연결하는 브리지 구조 자체가 2022년 한 해 디파이 업계에서 가장 취약한 공격 지점으로 지목됐다. 보안 전문가들은 브리지가 여러 체인의 신뢰 가정을 하나로 묶는 복잡한 구조를 가지기 때문에 코드 감사만으로는 모든 결함을 잡아내기 어렵다고 지적했다. 이번 사건을 계기로 다수의 브리지 프로젝트가 다중서명 구조 강화와 정기적 외부 감사를 도입하기 시작했다. 다만 근본적인 브리지 보안 문제는 이후로도 수년간 업계의 숙제로 남았다.

블록체인 분석업체 엘립틱은 2023년 1월 14일 웜홀 해킹 발생 거의 1년 만에 공격자의 이더리움과 솔라나 지갑이 한 시간 간격으로 동시에 활동을 재개했다고 밝혔다. 공격자는 솔라나 계정에서 새 계정으로 소액을 이체한 뒤 약 20만2651 SOL과 268만3305 USDC코인(Wormhole USDC)을 옮기고, 이 중 일부를 스왑해 이더리움 체인으로 다시 브리지했다. 이러한 자금 이동은 여러 단계의 스왑과 브리지를 거치며 자금 출처를 추적하기 어렵게 만드는 전형적인 자금 세탁 패턴을 보였다. 공격자의 신원은 이 시점까지도 밝혀지지 않은 채 미제로 남아 있었다. 이는 대형 크립토 해킹 사건에서 탈취범이 장기간 잠적했다가 뒤늦게 자금을 현금화하려는 시도가 드물지 않음을 보여주는 사례로 남았다.