팍소스는 왜 300조 개의 PYUSD를 발행하고 22분 만에 전량 소각했나

1. 단 한 번의 트랜잭션, 300조 개의 토큰

2025년 10월 15일 19시 12분 23초(UTC), 이더리움 블록 23585095에서 팍소스(Paxos)의 운영 주소가 페이팔 USD 계약을 호출했다. 호출된 increaseSupply 함수를 통해 정확히 300,000,000,000,000 PYUSD가 발행되어 팍소스 자체 주소에 입금되었다. 온체인 총공급량은 1,331,672,434.44개에서 300,001,331,672,434.44개로 폭증했다.^[2][4]

이 수치는 공급량과 돈을 구분해 읽어야 한다. PYUSD는 소수점 6자리의 ERC-20 원장이며, 발행 호출은 계약이 보고하는 공급량을 바꾸지만 달러를 이동시키거나 준비금을 만들지는 않는다. 팍소스 자체 주소에 찍힌 300조 개는 300조 달러의 현금이나 담보가 아니라 장부상 수치였다. 기록 공급량, 유통 공급량, 준비금으로 뒷받침된 공급량은 서로 다른 개념이다.^[7][4]

발행 자체에는 10 gwei 기준 66,722 가스, 즉 0.000667 ETH가 들었다. 와튼 파이낸스의 기술 분석은 의도된 3억 PYUSD와 실제 300조 개 사이가 정확히 100만 배이며, PYUSD의 소수점 6자리 변환이 두 번 적용됐을 가능성을 제시했다. 다만 팍소스의 비공개 프런트엔드는 확인할 수 없다고 선을 그었다. 할본도 의도된 수량을 3억 개로 보도했다.^[2][7][6]

블록 탐색기에 이상 수치가 감지되자 오입력 실수인지 해킹인지 논쟁이 일었다. 온체인 데이터는 실수를 가리켰다. 발행된 300조 토큰 전체가 팍소스 자체 주소에 그대로 머물렀고, 외부 지갑이나 거래소, DeFi 프로토콜로 단 1토큰도 이동하지 않았다. 장부상 숫자만 폭증했을 뿐 실제 유출된 자금은 전혀 없었다.^[7][2]

2. 22분의 시간: 원장을 원상 복구한 소각

같은 날 19시 34분 35초(UTC), 블록 23585206에서 동일한 팍소스 키가 decreaseSupply를 호출해 300,000,000,000,000개를 전량 소각했다. 계약은 이를 제로(0x0) 주소 전송으로 기록했고, 총공급량은 111블록 전과 동일한 1,331,672,434.44개로 복구되었다. 발행부터 소각까지 걸린 시간은 22분 12초였다.^[3]

온체인 기록은 초과분이 어디에도 도달하지 않았음을 증명한다. 소각 직전 팍소스 주소의 잔고는 정상 잔고 104,631,741.62개에 300조 개가 더해진 300,000,104,631,741.62개였다. 300조 개 중 어떤 토큰도 이용자 지갑이나 시장으로 이동하지 않았다. 팍소스의 설명대로 이 초과분에 대한 실물 준비금은 애초에 존재하지 않았다.^[3][2]

"동부 표준시 기준 오후 3시 12분, 팍소스는 내부 전송 과정에서 실수로 초과 수량의 PYUSD를 발행했습니다. 팍소스는 오류를 즉시 확인하고 초과 발행된 PYUSD를 소각했습니다."^[1]

— 팍소스 공식 X 성명 (2025년 10월 15일)

"이번 일은 내부 기술적 오류였습니다. 보안 침해는 발생하지 않았습니다. 고객 자금은 안전합니다."^[1][3]

— 팍소스 후속 공식 X 성명 (2025년 10월 15일)

3. 신뢰의 아키텍처: 발행 키를 쥔 자는 누구인가

이번 사건은 스마트 계약 취약점 공격이 아니었다. 감사를 거친 PYUSD 계약은 설계대로 정확히 동작했다. 팍소스 공식 저장소 문서에 따르면 PYUSD는 달러 준비금으로 가치를 뒷받침하는 신뢰 주체인 팍소스가 중앙 집중식으로 발행·소각하는 ERC-20 토큰이다. 문제는 계약 결함이 아니라 상단 운영 절차의 실패였다.^[5]

공급량 조절은 SupplyControl 계약을 거치며 SUPPLY_CONTROLLER_ROLE 주소만 발행·소각할 수 있다. 문서에는 속도 제한을 둘 수 있다고 명시되었으나, 사고 당일 단일 키가 한 번에 300조 개를 발행했으므로 실질적 제동 장치는 없었다. 동일한 키가 전량을 소각하면서 생성과 삭제 권한이 단일 지점에 집중되어 있음이 입증되었다.^[5][2][3]

보안 기업 할본은 PYUSD 공급량이 무제한 발행 권한을 가진 단일 EOA에 의해 관리되었으며, 다중 서명이나 준비금 연동 통제 장치가 없었다고 평가했다. 팍소스 문서상 관리자는 전송을 일시 중지할 수 있지만 중지 중에도 발행·소각은 가능하며, 자산 보호 역할(ASSET_PROTECTION_ROLE)은 특정 잔고를 동결하거나 몰수할 수 있다.^[6][5]

팍소스는 PYUSD가 100% 준비금으로 뒷받침된다고 홍보하며 매월 투명성 보고서를 공시한다. 그러나 실수로 찍힌 300조 토큰은 준비금 증명 체계 바깥에 존재했다. 실물 자산 이동 없이 발행사의 전산 권한만으로 나타났다 사라진 300조 개는 담보 자산이 아닌 권한의 산물이었다는 해석이 온체인 데이터로 뒷받침된다.^[8][3]

4. 후폭풍: 내부 통제를 시험한 300조

확인된 후폭풍은 평판과 예방 조치에 집중됐다. 할본에 따르면 에이브(Aave) 등은 상황이 정리될 때까지 PYUSD 거래를 일시 중단했다. 초과 토큰이 시장에 도달하지 않았어도 운영 질문은 남았다. 어떻게 의도보다 100만 배 큰 수량이 관리자의 실시간 발행 경로를 통과했는가.^[6][7]

"다중 서명 지갑이나 내장 통제가 없으면 적절한 준비금 또는 다른 통제 없이 새 토큰을 발행할 수 있었다."^[6]

— 할본, 사건 후 보안 분석

와튼 파이낸스는 계약상 단일·시간대별 발행 한도, 대규모 발행의 다중 서명, 준비금을 넘는 요청에 대한 프런트엔드 경고를 대안으로 제시했다. 팍소스 공식 저장소도 공급 관리자의 속도 제한이 선택 사항이라고 밝힌다. 핵심은 통제가 가능한지가 아니라 관리자 실수를 확정 전에 막도록 의무화되고 독립적으로 작동하는가다.^[7][6]

"왜 이 주소에 발행 권한이 있는가? 명백히 팍소스의 핫월렛이다."^[7]

— 브렛 헤먼웨이 포크, 와튼 파이낸스

팍소스가 오류를 빠르게 되돌릴 수 있었던 이유는 초과 토큰 전부가 발행사 자체 주소에 머물렀기 때문이다. 이 사건만으로 토큰이 외부로 이동했다면 어떤 결과가 났을지는 단정할 수 없다. 다만 단일 운영 권한이 공급량을 300조 개 늘렸다가 되돌릴 수 있었다는 사실은 분명하다. 원장은 22분 뒤 정확히 1,331,672,434.44 PYUSD로 복구됐다.^[2][3]