Gravity Bridge, 서명 키 유출로 54억 원 해킹… “스마트 계약 버그 아니다”

2026년 5월 30일 오전, 이더리움과 코스모스 생태계 사이의 자산 이동을 책임지는 크로스체인 브릿지 ‘그래비티 브릿지(Gravity Bridge)’의 이더리움 컨트랙트에서 대규모 자금 유출이 포착됐다. 온체인 분석가들은 몇 시간 만에 이 사건이 스마트 계약 코드의 결함이 아닌, 서명 키(signing key) 손상으로 인한 침해라고 결론지었다. 탈취된 총자산은 약 **540만 달러(한화 약 54억 원)**에 달한다 .

단 하나의 열쇠, 540만 달러를 열다

온체인 조사관 **스펙터(Specter)**는 유출이 발생한 두 개의 공격자 주소를 최초로 발견하며 사건을 보고했다 . 이후 블록체인 보안 업체 **펙쉴드(PeckShield)**와 슬로우미스트(SlowMist) 역시 조사에 착수했고, 이번 공격의 유력한 원인으로 브릿지 컨트랙트 키 또는 서명 권한의 손상을 지목했다 .

분석가들이 특히 주목한 점은 자금이 그래비티 브릿지의 검증된 이더리움 컨트랙트 자체에서 유출되었으며, 마치 정상적인 운영자 권한으로 승인된 것처럼 보이는 특권적 접근 방식이 사용됐다는 것이다. 이는 일반적인 스마트 계약 취약점 공격보다는 프라이빗 키 유출 가능성에 무게를 싣게 만드는 결정적인 정황이었다 .

공격자가 탈취한 자산의 구성은 다음과 같다.

• USDC 약 430만 달러 (약 43억 원)
• 274 ETH (약 55만 달러, 한화 약 5억 5천만 원)
• USDT 약 43만 4천 달러 (약 4억 3천만 원)
• PAYG 토큰 약 6만 4천 달러 (약 6천 400만 원)

그래비티 브릿지 측은 이번 사건에 대해 아직 공식 입장을 내놓지 않고 있다 .

자금 세탁 경로: ChangeNOW, 바이낸스, 그리고 움직이지 않은 2,102 ETH

해커는 탈취한 자금을 한꺼번에 현금화하지 않고 단계적으로 움직이는 전략을 택했다. 펙쉴드의 추적 결과, 자금 중 일부는 비수탁 스왑 서비스 ChangeNOW와 세계 최대 중앙화 거래소 **바이낸스(Binance)**를 통해 세탁된 정황이 포착되었다 .

하지만 온체인 연구자들이 더 주목하는 지점은 바로 공격자가 아직 옮기지 않은 자금이다. 최신 모니터링 데이터에 따르면, 해커의 지갑에는 여전히 2,102 ETH (약 423만 달러, 한화 약 42억 원) 가 남아 있다 . 이는 해커가 탈취한 스테이블코인과 토큰을 ETH로 스왑한 뒤, 자금을 완전히 빼내기 전 멈춰 섰다는 것을 의미한다. 거래소의 추가 동결 조치나 법 집행 기관의 감시를 의식한 행보로 풀이된다.

이렇게 남겨진 잔고는 블록체인 상에 실시간으로 남는 ‘발자국’이나 다름없다. 보안 연구원들과 블록체인 분석 업체들은 해당 지갑의 모든 움직임을 계속해서 추적하고 있으며, 향후 이 자금이 이동할 경우 주요 컴플라이언스 플랫폼 전반에 즉시 알람이 울릴 전망이다 .

그래비티 브릿지는 무엇이고, 왜 중요한가

그래비티 브릿지는 인터-블록체인 커뮤니케이션(IBC) 프로토콜을 활용해 이더리움과 코스모스 생태계를 연결하는 탈중앙화된 브릿지다. 중앙화된 수탁 기관 없이도 사용자들이 USDC, DAI, WETH 같은 ERC-20 자산을 코스모스 생태계로 자유롭게 옮길 수 있도록 설계됐다 .

2026년 중반 기준, 그래비티 브릿지는 **누적 브릿징 거래량 500억 달러(약 50조 원)**를 기록했으며, 100개 이상의 검증인(밸리데이터) 네트워크를 통해 거래의 최종성을 담보해왔다 . 이 브릿지는 중립성과 무허가 접근성을 핵심 가치로 설계됐고, 거버넌스는 여러 이해관계자에게 분산되어 있었다. 5월 30일 공격이 발생하기 직전, 이 브릿지의 총 예치 자산(TVL)은 약 1,150만 달러(한화 약 115억 원) 규모였다 .

이번 사건은 브릿지 설계의 근본적인 긴장 관계를 여실히 드러냈다. 그래비티 브릿지는 거버넌스와 검증인 수준에서는 탈중앙화를 추구했지만, 이더리움 측 출금을 승인하는 데 사용되는 특권적 서명 키가 하나의 집중된 신뢰 지점으로 존재했다. 이 키가 손상되자, 공격자는 브릿지의 다른 보안 체계를 전혀 우회하지 않아도 손쉽게 자금을 빼낼 수 있었던 것이다 .

2026년, 크로스체인 브릿지에겐 잔혹한 한 해

이번 그래비티 브릿지 사건은 결코 우연한 해프닝이 아니다. 펙쉴드의 데이터에 따르면, 2026년 5월 중순까지 이미 8건의 대형 크로스체인 브릿지 해킹이 발생했고, 총 피해액은 **3억 2,860만 달러(한화 약 3,286억 원)**에 이르렀다 . 구체적인 사고 목록은 다음과 같다.

날짜	프로토콜	보고된 손실
5월 18일	Verus-Ethereum 브릿지	1,140만 달러
5월 15일	THORChain	1,000만 달러
4월 27일	ZetaChain	30만 달러
4월 18일	Kelp / LayerZero	2억 9,200만 달러
4월 13일	Hyperbridge	250만 달러
4월 7일	Squid Router	100만 달러
2월 21일	IoTeX 브릿지	880만 달러
2월 1일	CrossCurve	300만 달러

이번 그래비티 브릿지가 이 목록의 아홉 번째 주자로 추가되면서, 2026년 크로스체인 브릿지 해킹 총 손실액은 6월 이전에 3억 3천만 달러를 넘어서게 됐다. 이처럼 빈번하고 규모가 큰 사건들로 인해 브릿지 보안은 이제 업계에서 가장 시급한 난제 중 하나로 자리 잡았다 .

브릿지 해킹의 반복되는 아킬레스건, ‘중앙화된 키 관리’

이번 공격을 포함한 2026년의 브릿지 해킹들에는 공통된 원인이 관통한다. 바로 코드 자체의 버그보다 더 근본적인 키 관리 구조의 문제다.

지난 4월, LayerZero 기반 프로토콜 Kelp에서 발생한 2억 9,200만 달러 규모의 해킹도 이번과 마찬가지로 순수한 기술적 버그보다 권한 승인 메커니즘 자체에 대한 의문을 불러일으켰다 . 어떤 브릿지가 소수의 서명 키에 의존하는 순간, 그 키 하나만 손상되면 모든 보안 장치가 무용지물이 될 수밖에 없다.

보안 연구자들이 수년간 경고해온 바로 그 지점이다. 네트워크의 한 계층에서 ‘탈중앙화된 합의’를 구축했다고 해서, 다른 계층의 ‘중앙화된 키 관리’가 자동으로 정당화되지는 않는다. 다자간 연산(MPC) 지갑, 임계 서명 방식(TSS), 하드웨어 보안 모듈(HSM) 등 대안은 얼마든지 있지만, 브릿지 생태계 전반에서의 도입은 아직도 더디기만 하다.

이번 사건은 수사 기관의 관점에서도 흥미로운 사례가 됐다. 탈취된 스테이블코인을 ETH로 스왑하고 그 대부분을 추적 가능한 지갑에 남겨둔 해커의 행동은, 이번 침해 사건을 자산 회수와 법적 추적의 실시간 사례 연구로 만들었다. 이 자금이 피해자들에게 반환될지, 아니면 끝없이 늘어나는 온체인 블랙리스트에 주소 하나만 추가하게 될지는 아직 아무도 모른다.