Gravity Bridge, 서명 키 유출로 54억 원 해킹… “스마트 계약 버그 아니다”

그래비티 브릿지 측은 이번 사건에 대해 아직 공식 입장을 내놓지 않고 있다 .

자금 세탁 경로: ChangeNOW, 바이낸스, 그리고 움직이지 않은 2,102 ETH

해커는 탈취한 자금을 한꺼번에 현금화하지 않고 단계적으로 움직이는 전략을 택했다. 펙쉴드의 추적 결과, 자금 중 일부는 비수탁 스왑 서비스 ChangeNOW와 세계 최대 중앙화 거래소 **바이낸스(Binance)**를 통해 세탁된 정황이 포착되었다 .

하지만 온체인 연구자들이 더 주목하는 지점은 바로 공격자가 아직 옮기지 않은 자금이다. 최신 모니터링 데이터에 따르면, 해커의 지갑에는 여전히 2,102 ETH (약 423만 달러, 한화 약 42억 원) 가 남아 있다 . 이는 해커가 탈취한 스테이블코인과 토큰을 ETH로 스왑한 뒤, 자금을 완전히 빼내기 전 멈춰 섰다는 것을 의미한다. 거래소의 추가 동결 조치나 법 집행 기관의 감시를 의식한 행보로 풀이된다.

이렇게 남겨진 잔고는 블록체인 상에 실시간으로 남는 ‘발자국’이나 다름없다. 보안 연구원들과 블록체인 분석 업체들은 해당 지갑의 모든 움직임을 계속해서 추적하고 있으며, 향후 이 자금이 이동할 경우 주요 컴플라이언스 플랫폼 전반에 즉시 알람이 울릴 전망이다 .

그래비티 브릿지는 무엇이고, 왜 중요한가

그래비티 브릿지는 인터-블록체인 커뮤니케이션(IBC) 프로토콜을 활용해 이더리움과 코스모스 생태계를 연결하는 탈중앙화된 브릿지다. 중앙화된 수탁 기관 없이도 사용자들이 USDC, DAI, WETH 같은 ERC-20 자산을 코스모스 생태계로 자유롭게 옮길 수 있도록 설계됐다 .

2026년 중반 기준, 그래비티 브릿지는 **누적 브릿징 거래량 500억 달러(약 50조 원)**를 기록했으며, 100개 이상의 검증인(밸리데이터) 네트워크를 통해 거래의 최종성을 담보해왔다 . 이 브릿지는 중립성과 무허가 접근성을 핵심 가치로 설계됐고, 거버넌스는 여러 이해관계자에게 분산되어 있었다. 5월 30일 공격이 발생하기 직전, 이 브릿지의 총 예치 자산(TVL)은 약 1,150만 달러(한화 약 115억 원) 규모였다 .

이번 사건은 브릿지 설계의 근본적인 긴장 관계를 여실히 드러냈다. 그래비티 브릿지는 거버넌스와 검증인 수준에서는 탈중앙화를 추구했지만, 이더리움 측 출금을 승인하는 데 사용되는 특권적 서명 키가 하나의 집중된 신뢰 지점으로 존재했다. 이 키가 손상되자, 공격자는 브릿지의 다른 보안 체계를 전혀 우회하지 않아도 손쉽게 자금을 빼낼 수 있었던 것이다 .

2026년, 크로스체인 브릿지에겐 잔혹한 한 해

이번 그래비티 브릿지 사건은 결코 우연한 해프닝이 아니다. 펙쉴드의 데이터에 따르면, 2026년 5월 중순까지 이미 8건의 대형 크로스체인 브릿지 해킹이 발생했고, 총 피해액은 **3억 2,860만 달러(한화 약 3,286억 원)**에 이르렀다 . 구체적인 사고 목록은 다음과 같다.

이번 그래비티 브릿지가 이 목록의 아홉 번째 주자로 추가되면서, 2026년 크로스체인 브릿지 해킹 총 손실액은 6월 이전에 3억 3천만 달러를 넘어서게 됐다. 이처럼 빈번하고 규모가 큰 사건들로 인해 브릿지 보안은 이제 업계에서 가장 시급한 난제 중 하나로 자리 잡았다 .

브릿지 해킹의 반복되는 아킬레스건, ‘중앙화된 키 관리’

이번 공격을 포함한 2026년의 브릿지 해킹들에는 공통된 원인이 관통한다. 바로 코드 자체의 버그보다 더 근본적인 키 관리 구조의 문제다.

지난 4월, LayerZero 기반 프로토콜 Kelp에서 발생한 2억 9,200만 달러 규모의 해킹도 이번과 마찬가지로 순수한 기술적 버그보다 권한 승인 메커니즘 자체에 대한 의문을 불러일으켰다 . 어떤 브릿지가 소수의 서명 키에 의존하는 순간, 그 키 하나만 손상되면 모든 보안 장치가 무용지물이 될 수밖에 없다.

보안 연구자들이 수년간 경고해온 바로 그 지점이다. 네트워크의 한 계층에서 ‘탈중앙화된 합의’를 구축했다고 해서, 다른 계층의 ‘중앙화된 키 관리’가 자동으로 정당화되지는 않는다. 다자간 연산(MPC) 지갑, 임계 서명 방식(TSS), 하드웨어 보안 모듈(HSM) 등 대안은 얼마든지 있지만, 브릿지 생태계 전반에서의 도입은 아직도 더디기만 하다.

이번 사건은 수사 기관의 관점에서도 흥미로운 사례가 됐다. 탈취된 스테이블코인을 ETH로 스왑하고 그 대부분을 추적 가능한 지갑에 남겨둔 해커의 행동은, 이번 침해 사건을 자산 회수와 법적 추적의 실시간 사례 연구로 만들었다. 이 자금이 피해자들에게 반환될지, 아니면 끝없이 늘어나는 온체인 블랙리스트에 주소 하나만 추가하게 될지는 아직 아무도 모른다.