THORChain 1000만 달러 해킹 사건: 무엇이 일어났고 사용자들은 무엇을 알아야 할까

사건이 발생하자 네트워크는 즉시 거래와 서명(signing) 작업을 중단했고, 보안 연구자와 개발자들이 원인 분석에 착수했다. 동시에 피해 보상 여부와 관련해 환불 포털이 존재한다는 보도와 그렇지 않다는 공식 경고가 충돌하면서 이용자들 사이에 큰 혼란이 발생했다.

THORChain 해킹: 무엇이 일어났나

온체인 분석가와 보안 모니터링 시스템이 비정상적인 금고 자금 이동을 처음 감지한 것은 2026년 5월 중순이다.

보고에 따르면 공격자는 다음과 같은 자산을 빼냈다.

• 약 36.75 BTC(약 300만 달러)
• 기타 체인에서 약 700만 달러 상당 토큰

총 피해 규모는 약 1000만~1080만 달러로 추정된다.

공격 대상이 된 아스가르드 금고는 THORChain에서 여러 블록체인 간 스왑을 지원하기 위해 자산을 보관하는 핵심 인프라다. 이 금고는 단일 개인키 대신 여러 검증자 노드가 함께 서명하는 분산 서명 구조를 사용한다.

네트워크는 이상 거래를 감지한 직후 서명 기능을 중단해 추가 유출을 차단했다.

GG20 임계 서명 취약점이 어떻게 악용됐나

현재 가장 유력한 원인으로 지목되는 것은 GG20 Threshold Signature Scheme(TSS) 구현 취약점이다.

이 기술은 일반적인 지갑처럼 개인키를 한 곳에 저장하지 않고, 여러 노드가 각각 키 조각을 보유하도록 설계된 다자간 연산(MPC) 방식이다.

정상적인 경우에는 일정 수 이상의 노드가 참여해야만 거래 서명이 만들어진다.

그러나 조사자들은 공격자가 다음과 같은 방식으로 시스템을 악용했을 가능성을 제기한다.

• 최근 추가된 검증자 노드가 공격과 연관
• 노드 간 통신 과정에서 키 조각 정보가 점진적으로 노출
• 결국 금고 개인키 재구성 수준의 정보 확보

이렇게 확보된 정보로 공격자는 정상적인 금고 서명처럼 보이는 거래를 생성해 자금을 빼냈을 가능성이 제기된다.

THORChain의 자동 감지 시스템이 비정상 행동을 포착하면서 서명 활동이 중단되었고, 피해 규모는 더 커지지 않았다.

환불 포털 논란: 서로 다른 보도

사건 이후 가장 혼란을 키운 부분은 피해 보상 프로그램 존재 여부였다.

일부 암호화폐 매체들은 THORChain이 5월 16일에 자체 보상 포털을 열었다고 보도했다. 이 보도에 따르면 포털은 다음 기능을 제공한다.

• 피해 지갑 보상 대상 여부 확인
• 악성 토큰 승인(revoke) 취소
• 환불 신청 제출

또한 1000만 달러 규모의 트레저리 자금으로 보상 풀을 만들었고, 21일 동안 신청 가능하며 마감은 6월 4일이라고 전했다. 영향을 받은 지갑은 12,847개로 추정됐다.

하지만 다른 보도에서는 정반대의 메시지가 나왔다.

THORChain 측은 공식 채널을 통해 다음과 같은 경고를 내놓았다.

• 환불 프로그램
• 에어드롭
• 보상 신청

같은 내용을 홍보하는 가짜 계정과 허위 정보가 확산되고 있다는 것이다.

이 때문에 사용자들에게는 공식 채널에서 확인되지 않은 포털 링크를 절대 사용하지 말라는 주의가 내려졌다.

해킹 이후 급증한 사기 시도

대형 DeFi 해킹 이후 흔히 나타나는 현상이지만, 이번 사건에서도 피싱 공격과 사기 사이트가 빠르게 등장했다.

THORChain은 특히 다음 유형을 경고했다.

• 가짜 환불 사이트
• 보상 신청 링크
• 에어드롭 이벤트

이런 링크는 지갑 연결이나 서명을 유도해 추가 자산 탈취로 이어질 수 있다.

시장 반응: RUNE 가격 급락

사건 직후 THORChain의 네이티브 토큰 RUNE은 시장에서 즉각적인 반응을 보였다.

• 약 11~12% 하락
• 한때 약 0.51달러 수준까지 하락

투자자들이 특히 우려한 부분은 다음과 같은 구조적 위험이었다.

• MPC 기반 지갑 보안
• 크로스체인 인프라 리스크
• 검증자 노드 신뢰 구조

이런 이슈는 크로스체인 DeFi 프로젝트에서 반복적으로 제기되는 핵심 보안 문제다.

DeFi 보안 측면에서 의미하는 것

이번 사건은 DeFi 생태계의 중요한 구조적 위험을 다시 보여줬다.

크로스체인 프로토콜은 여러 블록체인 자산을 관리하기 위해 암호학적 서명 시스템에 위험이 집중되는 구조를 갖는다.

만약 TSS 또는 MPC 구현에 취약점이 존재한다면 여러 네트워크의 자산이 동시에 노출될 수 있다.

또 하나의 교훈은 사고 이후 커뮤니케이션 자체가 공격 표면이 될 수 있다는 점이다. 가짜 환불 포털이나 보상 프로그램이 등장하면 피해자들이 추가로 지갑을 연결하거나 서명하면서 피해가 확대될 수 있기 때문이다.

앞으로의 대응과 조사

현재 보안 연구자들과 분석 회사들은 공격자의 지갑 흐름을 추적하며 자금 이동 경로를 분석하고 있다.

일부 온체인 분석에서는 공격에 사용된 지갑이 몇 주 전부터 자금이 공급된 정황이 확인돼, 단순 기회 공격이 아니라 사전 준비된 공격일 가능성도 제기된다.

THORChain 개발팀은 또한 다음과 같은 조치를 검토 중이다.

• TSS 인프라 보안 강화
• GG20 구현 수정 또는 대체
• 검증자 노드 운영 구조 점검

공식 **포스트모템(사후 분석 보고서)**가 공개되기 전까지는 정확한 기술적 원인이 완전히 확정된 것은 아니다.

다만 이번 사건은 분명한 메시지를 남겼다. 고도화된 크로스체인 프로토콜이라도 암호학적 인프라 취약점 하나로 수천만 달러 규모 위험에 노출될 수 있다는 점이다.