AFX Trade, Verus-Ethereum 브릿지, B² Network 동시다발 해킹…7월 22~23일 사건 총정리

AFX Trade — 2415만 달러 (7월 22일)

이번 3건 중 가장 큰 피해는 AFX Trade에 집중됐습니다. AFX Trade는 Arbitrum 네트워크를 기반으로 하는 탈중앙 무기한 선물 거래소입니다. 블록체인 보안 업체 Blockaid는 7월 22일 오후 9시 30분(UTC) 경 이 공격을 감지했습니다.

공격자는 브릿지 검증인 7명 중 5명의 핫 서명 키(hot-signing key)를 탈취했습니다. 온체인 스마트 계약 로직 자체는 우회되지 않았습니다. 즉, 정당한 검증인 5명의 서명이 승인한 인출이었기 때문에 스마트 계약은 설계된 대로 정상 실행됐습니다.

공격자는 AFX의 크로스체인 브릿지에서 약 2415만 달러 상당의 USDC를 빼내 이더리움으로 옮긴 뒤 약 12,467.5 ETH로 스왑해 단일 지갑에 모았습니다.

AFX Trade는 브릿지 운영을 즉시 중단하고 외부 보안 전문가와 공동 조사에 착수했습니다. 또한 해커에게 30%의 현상금(약 720만 달러) 을 제시하며 나머지 70%를 반환하면 추적을 중단하겠다고 공개 요청했습니다. AFX 측은 거래 인프라와 메인넷은 영향을 받지 않았다고 밝혔습니다. Arbitrum을 개발하는 Offchain Labs도 'Arbitrum 자체 브릿지는 손상되지 않았으며, 오직 AFX가 운영하는 타사 브릿지만 공격받았다'고 확인했습니다.

Verus-Ethereum 브릿지 — 754만 달러 (7월 23일)

Verus-Ethereum 크로스체인 브릿지는 7월 23일 오전 3시 45분(UTC) 경 공격받았습니다. 이번 공격의 핵심은 위조된 크로스체인 증명(proof) 이었습니다. 공격자는 브릿지의 '가져오기 경로(import path)'를 악용해, Verus 체인 쪽에 상응하는 담보 자산이 잠겨 있지 않은데도 이더리움 측에서 지급을 발생시켰습니다.

더 충격적인 점은, 이번 공격이 5월에 발생했던 1158만 달러 규모 해킹과 동일한 계약 진입 경로와 취약점을 그대로 이용했다는 사실입니다. 5월 첫 번째 공격 이후 Verus는 현상금 프로그램으로 대부분의 자금을 되찾았습니다. 그리고 7월 8일, 그 회수한 자금을 같은 브릿지에 다시 예치했습니다. 그리고 불과 2주 만에 똑같은 방식으로 또 털린 것입니다.

공격자는 약 754만 달러 상당의 자산을 빼냈습니다. 여기에는 ETH(약 1,137 ETH), tBTC, USDC, USDT, EURC, MKR, scrvUSD 등이 포함됐습니다. 공격자는 훔친 자산을 약 3,916.1 ETH로 전환한 뒤 토네이도 캐시(Tornado Cash) 로 보내 믹싱(자금 추적 차단)을 시도했습니다.

Blockaid, PeckShield 등 보안 업체들이 조사에 나섰고, 업계에서는 고쳐지지 않은 취약점에 대한 비판의 목소리가 높아졌습니다.

B² Network — 386만 달러 (7월 23일)

B² Network는 비트코인 레이어2(L2) 프로젝트로 BNB 체인 위에 구축됐습니다. 체인 분석가 Specter가 7월 23일(한국시간) 이 공격을 처음 포착했습니다.

다른 두 건과 달리 이번 공격은 암호화폐 브릿지 기술 결함이 아니라 관리자 키 탈취(admin key compromise) 사고였습니다. 공격자가 계약 업그레이드 권한에 무단 접근해 B2 토큰을 빼낸 것입니다.

공격자는 약 859만 개의 B2 토큰(약 386만 달러 상당)을 훔친 뒤, 이를 5,409 WBNB(약 311만 달러)로 스왑하고 이더리움으로 옮겼습니다. 이후 이 자금은 NEAR Intents를 통해 Zcash로 이동 중인 것으로 알려졌습니다. 대규모 매도 압력으로 B2 토큰 가격은 급락했습니다. B² Network는 무단 접근이 확인된 후 즉시 토큰 스테이킹을 중단했습니다.

AFX Trade 해커의 THORChain 자금 세탁

첫 번째 해킹 사흘 뒤인 7월 25일, AFX Trade 해커가 훔친 자금을 본격적으로 움직이기 시작했습니다. 해커는 THORChain을 이용해 ETH를 BTC로 스왑했습니다. THORChain은 탈중앙 크로스체인 유동성 프로토콜로, 중앙화 거래소의 KYC(신원 확인) 절차를 우회할 수 있어 암호화폐 범죄자들이 자금 세탁에 자주 사용합니다.

온체인 분석가 Ash와 EmberCN의 보고에 따르면, 7월 25일 한 시간 동안 약 655 ETH(총 12,467.5 ETH 중 일부)가 약 18.86 BTC로 전환됐습니다. 대부분의 ETH(약 12,467개)는 해커 지갑에 그대로 남아 있었고, BTC 전환은 진행 중이었습니다.

핵심 요약

• 이번 3건 모두 암호 기술이 뚫린 것이 아니라, 개인키 탈취 또는 미해결된 스마트 계약 로직 결함 때문에 발생했습니다.
• Verus-Ethereum 브릿지 공격은 5월에 발생했던 동일한 취약점이 완전히 고쳐지지 않아 재발한 사례로, DeFi 업계의 근본적인 보안 문제를 드러냈습니다.
• 세 건 모두 공격자가 훔친 자산을 ETH나 BTC로 빠르게 전환한 뒤 프라이버시 중심 도구(토네이도 캐시, THORChain, NEAR Intents)를 활용해 추적을 어렵게 하는 공통 패턴을 보였습니다.
• 7월 한 달 동안 브릿지 관련 해킹 손실은 약 1억 달러(약 1300억 원)에 육박하며, 6월 전체 손실을 넘어섰습니다.