메타버스 프로젝트 더 샌드박스(The Sandbox)가 크로스체인 브릿지 취약점으로 공격을 받았다. 공격자는 베이스(Base)와 BNB 스마트체인(BSC)에서 담보 없는 SAND 토큰을 무단으로 발행했다. 보안업체 블록에이드(Blockaid)는 8월22일(현지시각) 이 사건을 포착해 “지금까지 400건 이상의 트랜잭션에 걸쳐 장부가 기준 약 490억 달러 상당의 SAND가 발행됐다”고 밝혔다. 더 샌드박스 측은 실제 영향은 전체 SAND 공급량의 0.01% 미만이며 이더리움과 폴리곤 상의 토큰, 유저 지갑은 안전하다고 밝혔다. 국내에서는 빗썸과 업비트가 잇따라 SAND 입출금과 거래를 제한하며 대응에 나섰다.

LayerZero 권한 탈취로 시작된 무한 발행

공격자는 SAND의 크로스체인 전송을 지원하는 LayerZero의 OFT(Omnichain Fungible Token, 옴니체인 대체가능토큰) 구조에서 델리게이트 권한을 approveAndCall 함수를 통해 탈취했다. 이 권한으로 베이스에 배포된 SAND 컨트랙트에서 임의로 토큰을 발행할 수 있게 됐다. 블록에이드는 “공격자가 LayerZero 델리게이트 권한을 하이재킹해 담보 없는 SAND를 발행했다”고 전했다.

초기 경보에서는 5억 개 이상의 SAND가 베이스에서 발행된 것으로 나타났다. 이는 이더리움 메인넷 기준 SAND 전체 공급량 30억 개의 약 17%에 해당하는 규모다. 이후 보안업체 펙쉴드(PeckShield)는 두 개의 주소에서 149억 개의 SAND가 발견됐다고 확인했다. 블록에이드는 여기서 더 나아가 400건 이상의 트랜잭션에서 총 490억 달러 상당(장부가 기준)의 SAND가 만들어졌다고 집계했다.

“490억 달러 발행”과 “67만5000달러 탈취”의 간극

주목할 점은 490억 달러라는 수치가 실제로 탈취된 금액이 아니라는 사실이다. 담보 없이 찍어낸 토큰의 시장가 기준 액면가일 뿐, 이 물량을 실제로 매도해 현금화하기는 불가능하다. 이만큼 대량의 SAND를 시장에 던지면 가격 자체가 붕괴하기 때문이다.

실제 피해 규모는 훨씬 작다. 이더리움에 있는 SAND의 OFT 어댑터 컨트랙트, 즉 크로스체인으로 이동한 토큰을 실제로 담보해주는 금고에서 약 1,475만 개의 SAND가 빠져나갔다. 이는 당시 시세로 약 67만5000달러 상당이다. 온체인 분석 계정 블록워치도그(BlockWatchdog)는 “이더리움 어댑터의 보유량이 1,476만9723 SAND에서 0.0056으로 줄었다”며 공격자가 1분 안에 이 물량을 인출했다고 전했다. 탈취된 자금 중 약 79.74 ETH가 실제로 전환된 것으로 파악됐다.

더 샌드박스는 사건을 인지한 뒤 베이스와 BSC 양쪽에서 브릿지 기능을 비활성화했다. 팀은 “공격자가 베이스와 BSC에서 담보 없는 SAND를 발행할 수 있었다. 우리는 두 네트워크의 브릿징을 모두 중단해 베이스와 BSC의 SAND를 격리했으며 현재 이동이나 상환이 불가능한 상태다”라고 공지했다. 이더리움에 잠겨 있는 SAND, 즉 모든 브릿지 토큰의 담보 물량은 그대로 안전하게 보존됐다고 강조했다.

프로젝트 측은 사고 이전 시점의 스냅샷을 확보해 조건에 맞는 유동성 공급자(LP)에 대한 보상 방안을 준비하겠다고 밝혔다. 아울러 정확한 원인과 경과를 담은 사후 보고서를 추가로 낼 계획이라고 전했다. 이용자들에게는 베이스와 BSC에서 SAND를 매수·매도·거래하지 말라고 경고했다. 두 네트워크의 유동성이 이미 훼손된 상태이기 때문이다.

빗썸·업비트 동시 대응…이더리움 버전도 일시 경계

국내 거래소도 빠르게 움직였다. 빗썸은 이날 오전 11시11분(KST) SAND 입출금을 중단했고 업비트는 1분 뒤 거래유의 조치를 내렸다. 두 거래소 모두 가상자산 이용자 보호법에 따른 보안 사고 우려를 근거로 들었다.

다만 업비트가 경계 조치를 내린 대상은 이더리움 버전 SAND였다. 더 샌드박스는 이후 이더리움 상 SAND는 이번 사고와 무관하다고 공식적으로 밝혔다. 국내 거래소들의 신속한 대응이 실제 위험 범위와는 다소 엇갈렸던 셈이다. 그럼에도 이번 사고는 한국 규제 체계가 해외발 크로스체인 보안 이슈에 얼마나 민감하게 반응하는지 보여준 사례로 평가할 수 있다.

시장 반응은 예상 밖이었다. 암호화폐 매체 크립토랭크(CryptoRank)에 따르면 SAND 가격은 사고 소식이 전해진 뒤에도 4.76% 오른 0.0476달러를 기록했다. 거래량은 오히려 400% 이상 급증했다. 담보 없는 토큰이 대량 발행됐다는 부정적 소식에도 가격이 밀리지 않은 점은 이례적이라는 평가가 나온다.

반복되는 브릿지 취약점, 업계 숙제로

이번 사건은 크로스체인 브릿지가 디파이(DeFi) 생태계에서 여전히 가장 취약한 지점이라는 점을 다시 확인시켰다. 데이터 분석업체 디파이라마(DefiLlama)에 따르면 이달 들어서만 17건의 익스플로잇이 별도로 집계됐다. 대부분 소규모였지만 브릿지가 반복적으로 공격 지점이 되고 있다는 공통점이 있다.

더 샌드박스는 애니모카 브랜즈(Animoca Brands)의 자회사로 2021년 펀딩 라운드에서 9300만 달러(약 1,297억 원, 1달러 1,395원 기준)를 조달한 대형 메타버스 프로젝트다. 이런 프로젝트조차 LayerZero 기반 옴니체인 토큰 구조에서 델리게이트 권한 관리 부실로 뚫렸다는 점은 크로스체인 인프라의 보안 수준이 실물 자산 토큰화나 기관 자금 유입 속도를 따라가지 못하고 있다는 우려를 낳는다. 더 샌드박스 측이 예고한 후속 기술 분석 보고서가 나오면 정확한 취약점의 위치와 재발 방지 대책이 드러날 것으로 보인다.