바이낸스와 폴리마켓이 폴리곤 네트워크 하드포크(기존 규칙을 바꾸는 네트워크 업그레이드)를 통해 도난당한 POL 토큰을 되찾는 방안을 제안했다. 회수 대상은 7,049만 개로 약 680만 달러 규모다. 같은 시기 코인베이스는 바이낸스 해킹의 영향을 받지 않았다며 고객 자산 99% 이상을 오프라인 콜드스토리지에 보관한다고 밝혔다. 이하 날짜는 현지시각 기준이다.

5개 공격자 주소에서 POL 7,049만 개 회수 제안

코인텔레그래프에 따르면 바이낸스와 폴리마켓은 수요일 폴리곤 거버넌스(의사결정) 제안서를 냈다. 서로 다른 두 보안 사고에서 빼앗긴 POL을 하드포크로 회수하자는 내용이다. 대상은 5개 주소다. 폴리마켓 해킹과 연관된 4개 주소에 POL 2,386만 개(약 231만 달러)가 있고, 바이낸스 해킹과 연결된 1개 주소에 POL 4,663만 개(약 451만 달러)가 있다.

계획은 이렇다. 공격자가 통제하는 5개 주소에서 도난 토큰을 빼낸다. 이를 폴리마켓과 바이낸스가 지정한 검증된 회수 지갑으로 옮긴다. 이 과정은 미리 정한 특정 블록에서 이뤄지며 POL의 총공급량은 바뀌지 않는다고 제안서는 밝혔다.

두 사건은 별개다. 바이낸스는 10월 29일 역대 최대 규모인 63억 달러대 해킹을 당했다. 폴리마켓은 외부 서비스 제공업체가 침해됐다고 보고한 뒤 거래를 일시 중단한 바 있다. 이번 제안은 두 플랫폼이 폴리곤 체인 위에 남은 도난 자금을 함께 겨냥했다는 점에서 눈에 띈다.

임시 차단은 이미 가동…승인과 테스트넷 검증이 관문

폴리곤의 블록 생성자들은 이미 해당 주소에서 나가는 거래를 막아 둔 상태다. 도난 자금이 다른 곳으로 이동하지 못하게 하는 조치다. 다만 제안서는 이런 제한이 임시 조치일 뿐이라고 선을 그었다. 자금을 원래 주인에게 돌려줄 수는 없다는 설명이다.

그래서 하드포크가 필요하다. 계획이 실행되려면 거버넌스 승인을 받아야 하고 폴리곤의 아모이(Amoy) 테스트넷 검증도 통과해야 한다. 논의는 11월 5일 예정돼 있다. 메인넷 하드포크 일정은 확정되지 않았다.

이 방식은 체인 규칙 자체를 바꿔 특정 주소의 잔액을 옮긴다는 점에서 단순 동결과 성격이 다르다. 제안서는 총공급량을 건드리지 않는다고 못 박았지만 승인 여부는 거버넌스 논의에 달려 있다.

코인베이스 “우리는 영향 없다”…콜드스토리지 99% 강조

디크립트에 따르면 코인베이스는 수요일 블로그 글에서 지난주 바이낸스 해킹의 영향을 받지 않았다고 밝혔다. 이 해킹으로 공격자는 바이낸스 핫월렛(인터넷에 연결된 지갑)에서 약 64억 달러를 빼냈다. 코인베이스는 고객 자산의 99% 넘게를 인터넷으로 접근할 수 없는 콜드스토리지에 두고 있다고 설명했다. 핫월렛으로는 고객이 필요로 할 때만 자금을 옮긴다.

글은 바이낸스 사건이 고객들에게 “당연히” 같은 공격이 가능한지에 대한 질문을 남겼다고 짚었다. 코인베이스는 여러 겹의 방어 장치를 소개했다. 콜드월렛 개인키는 여러 조각으로 나뉘어 거래에 서명할 때도 완전히 재조립되지 않는다. 핫월렛 서명 서비스에 상시 접근 권한을 가진 직원도 없다.

콜드월렛에서 핫월렛으로 자금이 이동하는 속도에도 엄격한 한도를 뒀다. 평소와 다른 출금 급증은 직원이 검토할 때까지 보류된다. 서명 키를 통째로 오프라인으로 돌리는 ‘킬 스위치’도 발동할 수 있다.

코인베이스는 직원이 피싱 표적이 된다는 전제로 통제 장치를 설계했다고 했다. 탈취된 비밀번호나 세션, 기기만으로는 작업을 할 수 없고 민감한 작업은 복수의 승인을 거친다. 고객 자산은 1대 1로 보유하며 고객이 지시하지 않는 한 대출에 쓰지 않는다고도 했다. 9월 30일 기준 현금 및 현금성 자산은 86억 달러, 플랫폼 내 자산은 3,770억 달러라고 밝혔다.

내부자 위협과 업계 연쇄 사고

디크립트는 코인베이스가 내부자 관리를 강조한 데 무게가 실린다고 짚었다. 지난 5월 코인베이스는 범죄자들이 해외 고객지원 직원을 매수해 개인정보를 빼냈다고 공개했다. 피해자는 월간 거래 이용자의 1% 미만이었고 범인들은 2,000만 달러를 요구했다. 코인베이스는 이를 거부했다.

지난주에는 분석 업체 앰플리튜드(Amplitude)의 보안 사고로 ‘소수’ 고객의 연락처 정보가 노출됐다고 밝혔다. 자금에는 영향이 없었다고 한다. 코인베이스는 인공지능(AI)을 빠르게 변하는 보안 위협으로 지목하고 보안 투자를 늘리겠다고 약속했다.

바이낸스 해킹은 업계 전반에 충격을 줬다. 디크립트에 따르면 미국 연방수사국(FBI)은 이 사건을 북한의 트레이더트레이터(TraderTraitor) 그룹 소행으로 지목했다. 블록체인 분석 업체 엘립틱(Elliptic)은 자금세탁이 4일도 안 되는 사이 약 1만 2,000개 지갑에 걸쳐 이뤄졌다고 밝혔다. 스테이블코인 발행사들이 동결한 몫은 전체의 약 44%였다.

피해는 이어졌다. 브라질의 머카도 비트코인은 4,000만 달러 해킹 뒤 출금을 중단했다. 프랑스 은행 크레디 뮈튀엘 아르케아는 최근 사이버 공격을 확인했고 1억 3,300만 달러어치 암호화폐가 도난당했다. 폴리곤 하드포크안은 11월 5일 논의 테이블에 오른다.