필리핀 생계를 바꾼 꿀벌 게임과 5개 키의 붕괴: 8,000억 원 로닌 브리지 탈취와 라자루스의 그림자

1. 필리핀 마을을 바꾼 기적: '돈 버는 게임'의 탄생

2020년 전 세계를 덮친 코로나19 팬데믹 당시, 필리핀의 소도시 카바나투안(Cabanatuan)에서는 믿기 힘든 광경이 펼쳐졌습니다. 일자리를 잃고 집에 갇힌 주민들이 스마트폰을 들고 귀여운 디지털 몬스터들을 번식시키고 배틀을 벌이며 쌀과 기저귀를 사고 있었던 것입니다. 바로 베트남 게임사 스카이 마비스(Sky Mavis)가 만든 엑시 인피니티(Axie Infinity)였습니다.

이 게임의 핵심은 게임 내 재화인 SLP(Smooth Love Potion)와 거버넌스 토큰 AXS를 획득해 암호화폐 거래소에서 현금으로 환전할 수 있는 '플레이 투 언(Play-to-Earn, P2E)' 혁신이었습니다.

게임 초기 캐릭터 3마리를 구매하는 데 수백 달러가 들자, 자본을 가진 매니저가 엑시 NFT를 구매하고 이를 일반 유저에게 빌려준 뒤 수익을 7:3으로 나누는 '장학금(Scholarship)' 시스템이 태동했습니다. 월평균 소득이 200~300달러이던 동남아 국가에서 하루 3~4시간 게임으로 월 1,000달러 이상을 버는 기적이 일어나자, 엑시의 일일 활성 사용자 수(DAU)는 순식간에 280만 명을 돌파했습니다.

2. 가스비 지옥 탈출과 로닌 브리지의 위험한 타협

하지만 폭발적인 인기는 이더리움 메인넷의 한계를 곧장 드러냈습니다. 몬스터 한 마리를 교배하거나 아이템을 전송할 때마다 50~100달러에 달하는 가스비(수수료)가 발생했고, 몇 시간씩 트랜잭션이 지연되었습니다.

스카이 마비스는 2021년 4월, 이더리움과 1대1로 자산을 연결하는 전용 이더리움 사이드체인 로닌(Ronin)을 전격 론칭했습니다. 로닌 덕분에 수수료는 거의 0원으로 떨어졌고, 전송 속도는 수초 단위로 빨라졌습니다.

그러나 빠른 처리 속도와 사용자 편의성을 얻는 대가로, 팀은 보안에서 치명적인 악마의 타협을 선택했습니다. 로닌 브리지의 수천억 원짜리 금고를 지키는 검증자 노드(Validator Node)를 전 세계에 분산시키는 대신, 단 9개의 검증자만 두고 그중 5개의 서명(5-of-9 multisig)만 모이면 누구든 출금을 승인할 수 있도록 설계한 것입니다.

3. 링크드인 가짜 채용서: 5개의 마스터키가 뚫리다

로닌 브리지의 예치금이 10억 달러를 넘어서자, 세계에서 가장 악명 높은 사이버 범죄 조직 라자루스 그룹(Lazarus Group)이 움직이기 시작했습니다. 그들의 무기는 첨단 제로데이 해킹이 아닌 정교한 스피어 피싱(Spear Phishing)이었습니다.

2022년 초, 라자루스 해커들은 링크드인(LinkedIn)을 통해 스카이 마비스의 수석 엔지니어에게 접근했습니다. 그들은 높은 연봉과 스톡옵션을 제시하는 유명 회사의 채용 담당자로 위장했고, 여러 차례의 가짜 기술 면접을 거친 뒤 최종 채용 제안서라며 PDF 파일을 이메일로 전송했습니다.

엔지니어가 무심코 다운로드하여 실행한 PDF 파일에는 스파이웨어 악성코드가 숨겨져 있었습니다. 해커들은 엔지니어의 컴퓨터를 완전히 장악한 뒤 스카이 마비스가 관리하던 검증자 프라이빗 키 4개를 탈취했습니다.

이제 단 1개의 키만 더 있으면 금고가 열리는 상황. 해커들은 2021년 11월 트래픽 폭증 당시 스카이 마비스가 임시로 권한을 부여했다가 철회하지 않고 방치해 둔 'Axie DAO 검증자 노드의 가스비 면제 RPC 화이트리스트'를 발견했습니다. 이 백도어를 통해 5번째 서명까지 획득하며 완벽한 '5 of 9' 통제권을 손에 쥐었습니다.

4. 엿새 동안 아무도 몰랐던 8,000억 원의 공백

2022년 3월 23일, 5개의 승인 서명을 손에 쥔 라자루스는 로닌 브리지 스마트 계약에 단 두 번의 출금 트랜잭션을 실행했습니다.

첫 번째 트랜잭션으로 173,600 ETH가, 두 번째 트랜잭션으로 2,550만 USDC가 순식간에 빠져나갔습니다. 도난당한 자금의 총가치는 6억 2,000만 달러(당시 한화 약 7,500억~8,000억 원). 암호화폐 역사상 단일 해킹 사건으로 가장 큰 피해액이었습니다.

더 충격적인 사실은 침해 발생 후 무려 6일 동안 스카이 마비스도, 검증자들도, 심지어 커뮤니티도 해킹 사실을 전혀 눈치채지 못했다는 점입니다. 브리지 모니터링 시스템이나 서킷 브레이커가 전혀 존재하지 않았기 때문이었습니다. 3월 29일, 한 일반 사용자가 5,000 ETH를 출금하려다 오류가 발생해 디스코드에 문의를 남기고 나서야 팀은 금고가 텅 비었다는 끔찍한 진실을 마주했습니다.

5. 100% 보상과 재건: 탈중앙화의 지름길은 없다

해킹 사실이 발표되자 웹3 생태계는 거대한 충격에 휩싸였습니다. 4월 14일, 미 연방수사국(FBI)은 공식 성명을 통해 이번 해킹의 배후로 북한 정찰총국 연계 해커 조직인 라자루스 그룹과 APT38을 공식 지목했습니다.

스카이 마비스는 도망치지 않았습니다. 공동 창업자 쭝 응우옌(Trung Nguyen)은 '사용자의 자금을 전액 보전하겠다'고 선언했습니다. 바이낸스의 창펑 자오(CZ)가 이끄는 컨소시엄으로부터 1억 5,000만 달러의 긴급 투자를 유치하고 회사 자체 자금을 총동원하여, 2022년 6월 28일 로닌 브리지를 재개하며 피해자들에게 100% 전액 보상을 완료했습니다.

우리는 이번 침해 사태에 전적인 책임을 집니다. 탈중앙화와 보안에는 지름길이 없다는 것을 가장 값비싼 대가를 치르고 배웠습니다.

— 스카이 마비스 공식 성명 (2022년 4월)

스카이 마비스는 로닌의 검증자 노드를 21개로 대폭 확장하고, 대규모 출금 시 7일간의 지연 및 사람의 수동 검토를 거치는 서킷 브레이커를 도입했습니다. 로닌 브리지 해킹은 블록체인 산업에 '편의성을 위해 탈중앙화와 보안을 타협했을 때 치러야 할 대가'가 얼마나 혹독한지를 증명한 결정적 사건으로 기록되었습니다.