아즈텍 커넥트 29억 원 해킹: 3년 전 폐기된 '좀비 계약'이 디파이 시한폭탄으로 돌아오다

마법 같은 공격, 그 기술적 비밀

이 공격의 핵심은 '영지식 증명(Zero-Knowledge Proof)'이라는 복잡한 수학적 마법이 이더리움이라는 현실 세계와 만나는 경계에서 발생했습니다. 아즈텍 커넥트는 사용자가 자산을 인출하려면 정당성을 증명하는 암호학적 증거(proof)를 제출해야 하는데, 서틱의 조사에 따르면 스마트 계약의 검증 함수가 이 증거의 일부(처음 부분)만 확인하도록 되어 있었습니다. 즉, 자금 이체를 승인하는 핵심 매개변수가 증명서의 더 깊숙한 곳에 숨겨져 있어, 공격자가 위조된 인출 지시를 마음껏 심을 수 있었던 것입니다 .

슬로우미스트(SlowMist)의 후속 분석은 근본 원인을 더 명확히 밝혀냈습니다. 이더리움 레이어1(L1)에서 정산 루프가 데이터를 처리할 때, 실제 거래 수(numRealTxs)와 해석된 슬롯(decoded_slots) 사이에 불일치가 발생한다는 점을 공격자가 파고든 것입니다. 이를 통해 공격자는 ZK 증명을 통해 31개의 빈 슬롯을 레이어2(L2) 상태 루트에 제출하면서도, L1 계약 레이어의 완전한 검증을 우회할 수 있었습니다 . 공격자는 무려 14개의 ZK 롤업 증명을 만들어냈고, 이 중 마지막 7개가 각각 다른 유형의 자산을 빼내는 데 사용됐습니다 .

달리 말하면, 은행 금고 문의 비밀번호를 앞의 몇 자리만 확인하고 열어주는 어처구니없는 상황이 벌어진 셈입니다.

모두가 손을 놓았다, 그렇기에 아무도 막을 수 없었다

이 공격을 더 충격적으로 만드는 것은, 바로 이 상황을 막을 수 있는 사람이 지구상에 단 한 명도 없었다는 사실입니다. 아즈텍 랩스는 2023년 3월에 아즈텍 커넥트의 서비스를 공식적으로 종료하면서 사용자들에게 1년 이상의 자금 인출 기간을 부여했습니다 . 그리고 2024년, 그들은 보다 근본적인 기술로 완전히 전환하기 위해 시스템에 대한 모든 관리자 권한을 의도적으로 포기했습니다. 스마트 계약은 업그레이드도, 정지(Pause)도, 그 어떤 개입도 불가능한 '절대 불변(Immutable)'의 상태가 된 것입니다 .

해킹이 발생한 지 몇 시간 후, 아즈텍 랩스는 공식 X(구 트위터) 계정을 통해 "아즈텍 커넥트는 3년 전에 폐기되었습니다. 아즈텍 랩스는 이 시스템에 대한 어떤 관리자 키나 통제권도 보유하고 있지 않으며, 계약을 정지하거나 업그레이드할 수 없습니다"라고 밝혔습니다 . 그리고 현재 운영 중인 아즈텍 네트워크와 AZTEC ERC-20 토큰은 이 사고와 무관하며 영향받지 않았음을 분명히 했습니다. 하지만, 그 사실만으로는 이미 불변의 금고 속에서 사라져버린 29억 원을 되돌릴 수 없었습니다 .

문제는, 당시 긴급 인출 기간과 여러 번의 안내에도 불구하고 약 210만 달러 상당의 잔여 자산이 여전히 이 계약 안에 갇혀 있었다는 점입니다 . 정당한 소유자들도 제 3자도 더 이상 손을 댈 수 없는, 일종의 디지털 '무인지대'에 돈이 방치되어 있었습니다.

디파이의 '좀비 계약'이 품은 거대한 시한폭탄

아즈텍 커넥트 사건은 탈중앙화 금융(DeFi) 생태계가 안고 있는 '좀비 계약(Zombie Contract)' 문제의 완벽한 교과서이자 경종을 울리는 사건입니다. 불변이 된 스마트 계약은 프로젝트가 사라진다고 해서 저절로 사라지지 않습니다. 모든 코드와 그 안에 들어있는 가치를 그대로 품은 채, 영원히 온체인에 남아 얼어붙습니다 .

진정한 '탈중앙화'를 달성하기 위해 관리자 키를 내려놓는 행위는 '백도어(backdoor)가 전혀 없다'는 강력한 신뢰 신호를 시장에 줍니다. 하지만 이번 사건이 증명했듯, 그 순간 계약은 영원히 패치할 수 없는 '꿀단지(Honeypot)'로 변모합니다. 만약 한 번도 발견되지 못했던 치명적 오류가 있다면, 이는 3년, 혹은 10년 뒤에라도 어느 날 갑자기 터질 수 있는 시한폭탄입니다. 그리고 한번 폭탄이 터지면, 뒤집을 수 있는 카드는 단 한 장도 없습니다 .

이 사건이 던지는 교훈은 냉혹하지만 명확합니다. 프로토콜을 폐기하려는 디파이 팀들은 관리 권한을 내려놓기 전에 반드시 모든 인출을 강제 완료하거나, 아니면 장기적인 관리자 통제를 요구하지 않는 **시간 기반의 비상 정지 메커니즘(타임락 기반 비상 장치)**을 마련해야 합니다. 그렇지 않으면, 버려졌지만 죽지 않은 그들의 창조물은 언젠가 반드시 발견될 단 하나의 실수를 찾아 헤매는 공격자들에게 느리지만 확실한 사냥감이 될 것입니다.