웜홀(Wormhole) 3억 2,000만 달러 해킹, 점프 크립토의 전액 수혈, 그리고 사상 초유의 온체인 역공격

1. 18시 24분의 대참사: 3억 2,000만 달러 해킹의 전말

2022년 초 크로스체인 브리지는 디파이(DeFi) 대호황의 핵심 엔진이었습니다. 그 중심에는 시카고의 거대 알고리즘 트레이딩 기업 점프 크립토(Jump Crypto)가 인수한 핵심 프로토콜 '웜홀(Wormhole)'이 있었습니다. 웜홀은 솔라나(Solana)의 초고속 네트워크와 이더리움의 막대한 유동성을 직접 연결하며 수조 원 규모의 자산 이동을 책임지고 있었습니다.^[1][2]

2022년 2월 2일 18시 24분(UTC), 정밀하게 계획된 해킹 공격이 발생했습니다. 해커는 웜홀의 솔라나 스마트 컨트랙트에서 서명 검증 로직이 업데이트되는 과정에서 이전의 취약한 시스템 함수('load_instruction_at')가 폐기되지 않고 남아있던 허점을 발견했습니다.^[1][2]

해커는 변수를 위조하여 웜홀의 19개 가디언(Guardian) 검증 노드가 정상적으로 서명한 것처럼 속였습니다. 단 한 번의 조작된 트랜잭션으로, 실제 담보가 전혀 없는 12만 개의 가짜 래핑 이더리움(whETH, 당시 약 3억 2,000만 달러)이 솔라나 상에서 무단 발행되었습니다.^[1][2]

요약하면, instruction sysvar 프로그램이 진짜인지 전혀 확인하지 않았다.^[1]

— 쿠델스키 시큐리티 (2022년)

해커는 즉시 93,750 ETH(약 3,000억 원)를 이더리움 메인넷으로 탈출시켰고, 솔라나 생태계에는 담보가 텅 비어버린 껍데기 토큰들만이 남겨졌습니다.^[1][2]

2. 한밤중의 결단: 점프 크립토의 3억 2,000만 달러 전액 수혈

사태의 파장은 즉각적이고 파멸적이었습니다. 당시 솔라나의 주요 대출 프로토콜(솔렌드, 마진파이)과 탈중앙 거래소(레이디움)는 웜홀 wETH를 핵심 담보로 사용하고 있었습니다. 12만 ETH의 지급준비금이 사라지자 솔라나의 모든 wETH는 휴짓조각이 될 위기에 처했고, 수십억 달러 규모의 솔라나 디파이 전체가 연쇄 청산의 죽음의 나선으로 붕괴하기 직전이었습니다.^[3][2]

웜홀 팀은 해커에게 1,000만 달러의 화이트햇 보상금과 형사 면책을 제안하며 자금 반환을 요청했으나, 해커는 이를 비웃듯 묵살했습니다.^[3][2]

점프 크립토 경영진은 절체절명의 선택의 기로에 섰습니다. 브리지의 파산을 지켜보며 솔라나 생태계 전체가 무너지는 것을 방치할 것인가, 아니면 암호화폐 역사상 전례 없는 거액의 회사 자금을 털어 넣어 손실을 메울 것인가?^[3][2]

점프 크립토는 도난당한 자금을 보충하고 커뮤니티의 피해를 100% 복구하기 위해 웜홀 이더리움 금고에 12만 ETH를 전액 입금했다. 우리는 크로스체인 금융의 미래를 굳게 믿는다.^[3][2]

해킹 발생 불과 24시간 만에 점프 크립토는 자사 금고에서 3억 2,000만 달러(약 4,000억 원)를 송금해 1:1 담보를 채워 넣었습니다. 솔라나 디파이의 연쇄 파산을 막아낸 크립토 역사상 가장 거대한 민간 구제금융이었습니다.^[3][2]

3. 온체인 역공격: 해커의 금고에서 1억 4,000만 달러를 탈환하다

대부분의 암호화폐 해킹 사건은 믹서를 통한 자금 세탁으로 허무하게 끝나지만, 웜홀 사건은 1년 뒤인 2023년 2월 믿을 수 없는 대반전을 맞이했습니다. 해커가 훔친 자금 중 상당액을 탈중앙 금융 플랫폼 오아시스(Oasis)의 레버리지 금고에 예치하고 일드파밍을 하고 있던 사실이 포착된 것입니다.^[4][5]

점프 크립토 보안팀은 오아시스 멀티시그 자동화 컨트랙트 프록시의 취약점을 발견했습니다. 그들은 영국 고등법원으로부터 비밀 압류 명령을 획득한 뒤, 오아시스 개발팀과 극비리에 협력하여 사상 초유의 '합법적 온체인 역공격(Counter-exploit)'을 감행했습니다.^[4][5]

화이트햇 구조팀은 플래시론을 이용해 해커의 레버리지 대출 포지션을 강제 청산시켰고, 해커의 금고에서 1억 2,000만 DAI와 담보 이더리움 등 총 1억 4,000만 달러(약 1,800억 원)의 자산을 탈환하여 안전하게 회수했습니다.^[4][5]

2023년 2월 21일, 우리는 2022년 2월 2일 웜홀 익스플로잇과 관련된 지갑 주소의 특정 자산을 회수하기 위해 필요한 모든 조치를 취하라는 잉글랜드·웨일스 고등법원의 명령을 받았다.^[4]

— 서머파이 (2023년)

이는 블록체인 역사상 피해 기업이 법원 명령과 스마트 컨트랙트 역공학 기술을 결합하여 해커의 금고를 직접 털어 자금을 회수한 최초의 경이로운 사건이었습니다.^[4][5]

4. 재건과 도약: $W 토큰과 완전한 탈중앙화

위기를 극복한 웜홀 팀은 웹3 역사상 가장 강도 높은 보안 쇄신에 착수했습니다. 가디언 노드 네트워크를 전면 재설계하고, 이뮤니파이(Immunefi)와 함께 최대 1,000만 달러의 사상 최대 버그 바운티 프로그램을 가동했으며, 영지식 증명(ZK)을 적용해 중앙화된 검증인 신뢰를 제거했습니다.^[4][2]

2023년 말 웜홀은 점프 크립토로부터 공식 분사하여 코인베이스 벤처스, 멀티코인 캐피털 등 글로벌 탑티어 VC로부터 25억 달러(약 3조 3천억 원)의 기업가치로 2억 2,500만 달러의 투자금을 유치했습니다.^[4][2]

2024년 4월 웜홀은 자체 거버넌스 토큰 $W를 출시하며 30개 이상의 블록체인을 연결하는 완전한 커뮤니티 주도형 탈중앙 상호운용성 프로토콜로 성공적인 도약을 완수했습니다.^[4][2]

3억 2,000만 달러의 웜홀 해킹과 극적인 구출 서사는, 단호한 자본 투입과 불굴의 암호학적 혁신, 그리고 능동적인 온체인 방어가 결합될 때 최악의 재앙조차 가장 견고한 인프라로 재탄생할 수 있음을 증명한 웹3 불멸의 명작입니다.^[4][2]