업비트, 이니시아 거래유의 지정…체인은 사흘째 멈춤

업비트가 26일 오후 2시 이니시아(INIT)를 거래 유의 종목으로 지정했다. 이니시아 메인 체인(L1)이 해킹 공격 뒤 24일 0시 41분(한국시간) 멈춘 지 사흘째다. 업비트는 원인이 밝혀지지 않았거나 해결되지 않은 보안 사고가 있어 이용자 피해가 생길 수 있다고 판단했다며, 11월 넷째 주(23~27일)까지 검토해 지정 연장·해제·거래지원 종료 가운데 하나를 정한다고 밝혔다.

업비트는 사고 직후인 24일 0시 57분 INIT 입출금을 막았고, 1시 15분에는 시세 변동에 주의하라는 '유의 촉구' 공지를 냈다. 이번 지정은 그보다 한 단계 높은 조치로, 근거는 가상자산이용자보호법 시행령 제17조 제1호 마목이다. 대상은 INIT/BTC와 INIT/USDT 두 마켓이다. 업비트에는 INIT 원화마켓이 없다.

입금은 돌려보내고, 출금이 먼저 열린다

업비트는 지정 공지가 올라온 뒤 들어오는 INIT 입금은 계정에 반영하지 않고 모두 반환 대상으로 처리한다고 밝혔다. 입출금은 24일 0시 57분부터 이미 멈춰 있다. 업비트는 나중에 재개할 때 출금만 먼저 열고, 입금은 유의 종목 검토 절차에 따라 따로 알리겠다고 했다.

검토 과정에서 지정 기간이 늘어날 수 있고, 지정 사유가 완전히 풀리지 않으면 거래지원이 끝날 수 있다는 점도 공지에 담겼다. 업비트는 연장이나 종료가 정해지면 별도 공지로 일정을 알린다.

INIT 추가 발행은 없었다

이니시아는 24일 오후 5시 46분 공식 X 계정에 사고 경위를 올렸다. 공격은 23일 오후 11시 59분 시작됐다. 이니시아에 따르면 공격자는 스마트 계약 실행 엔진인 무브VM의 '스크립트 캐싱' 버그를 이용해 악성 코드가 보안 검사를 건너뛰게 했다. 이어 체인 상태를 꾸며 담보 없는 WETH·iUSD·USDC를 자기 계정에 쌓았다. 해당 토큰의 총발행량 기록은 바뀌지 않았다. 이니시아는 "INIT는 새로 발행되지 않았고 총공급량에도 영향이 없다"고 밝혔다.

공격자는 체인이 멈추기 전 약 270만 달러어치를 빼냈다. 레이어제로를 거쳐 WETH 105개와 AUSD0 약 140만 개를, 노블과 서클의 CCTP를 거쳐 USDC 약 108만 개를 옮겼다. 이 자산은 이더리움 1,135.52개로 바뀌어 이더리움 지갑 하나(0x358e…cac8)에 모였다. 26일 오후 3시 30분 현재 이 지갑에는 이더리움 1,135.52개가 그대로 있고, 바이낸스 시세(2,315달러)로 약 263만 달러어치다.

이니시아는 취약점을 막는 보안 수정을 진행 중이라며 "며칠 안에 완료하고 감사도 마칠 것으로 예상한다"고 밝혔다. 보안 업체들과 자산 회수도 진행하고 있다고 했다. L1과 롤업은 계속 멈춰 있고, 사고 전체를 정리한 보고서는 나중에 낼 계획이다. 26일 오후 3시 30분까지 이니시아 공식 X에 체인 재가동 일정은 올라오지 않았다.

빗썸도 유의 지정…업비트 USDT 마켓은 바이낸스의 3.8배

빗썸도 같은 날 INIT를 거래유의 종목으로 지정했다고 뉴스1이 전했다. 빗썸은 INIT 원화마켓에 '유의' 표시를 붙였고, 입금과 출금도 모두 막아 둔 상태다. 빗썸에서 INIT는 26일 오후 3시 30분 187원에 거래됐다. 이날 오후 2시대에는 199원까지 올랐다가 177원까지 밀렸다. 이날 오후 3시 30분까지 거래대금은 약 11억 원으로, 사고 당일인 24일 하루(약 44억5천만 원)의 4분의 1 수준이다.

같은 시각 바이낸스에서 INIT는 0.1457달러에 거래됐다. 업비트 USDT 시세(1,335원)로 환산하면 약 194원으로, 빗썸보다 4%가량 높다. 바이낸스 INIT 무기한 선물의 펀딩비는 0.005%였다.

입금이 막힌 업비트 USDT 마켓에서는 가격이 크게 벌어졌다. INIT/USDT는 26일 0.5499달러로, 마지막 거래일인 23일 종가(0.1999달러)보다 175% 높고 바이낸스 가격의 약 3.8배다. 다만 이날 거래대금은 941 USDT에 그쳤다. 업비트는 이 마켓에 '가격 급변'과 '글로벌 시세 차이' 경보를 붙였다.