금감원, '가짜 기와 체인' 소비자경보…이더리움 766개 피해

금융감독원이 22일 두나무가 개발 중인 블록체인 '기와(GIWA)'를 흉내 낸 가짜 체인 사기에 대해 소비자경보 '주의'(2026-27호)를 발령했다. 이 가짜 체인을 지원했던 탈중앙화거래소 디와이스왑 집계에 따르면 지난달 27일 가짜 네트워크의 브리지(다른 블록체인으로 자산을 옮겨 주는 장치)에 이더리움 약 767개가 들어갔고, 이 가운데 766개가량이 한 번에 빠져나갔다. 금감원은 아직 공식 출시되지 않은 네트워크를 지원한다는 브리지나 스마트 컨트랙트는 "100% 사기"라고 못 박았다.

출시 전 메인넷 번호를 먼저 차지했다

금감원에 따르면 사기 조직은 커뮤니티와 SNS에 '메인넷 기습 오픈' 같은 허위 소식을 퍼뜨린 뒤, 지갑이 블록체인에 접속할 때 쓰는 주소(RPC)와 체인 ID, 브리지를 공식 네트워크와 비슷하게 꾸몄다. 체인 ID는 지갑이 어느 블록체인에 붙었는지 가려내는 고유 번호다. 금감원 자료에는 기와 공식 네트워크의 체인 ID가 91342, 가짜 네트워크가 9134로 적혀 있고, 금감원은 공식 네트워크가 아직 출시 전이라고 덧붙였다.

공개 체인 ID 목록(chainlist)에는 91342가 '기와 세폴리아 테스트넷'으로, 9134는 아직 준비 중인 '기와' 메인넷 번호로 올라 있다. 디와이스왑(DYOR Swap)은 가짜 네트워크가 기와에 배정된 체인 ID 9134를 그대로 써서 처음 확인 단계를 통과했다고 밝혔다. 디와이스왑은 이 가짜 체인을 기와 메인넷으로 알고 지원했고, 이용자들은 가짜 네트워크의 브리지로 이더리움을 보냈다. 금감원은 사기 조직이 브리지에 모인 이더리움을 한꺼번에 인출해 가로챘다고 설명했다.

브리지 배포부터 인출까지 13시간

디와이스왑과 기와가 밝힌 시각(한국시간)은 다음과 같다.

1. 9월 27일 03:10가짜 브리지가 이더리움 메인넷에 배포됐다. 배포 지갑은 약 8시간 30분 전 0.045 ETH를 받아 둔 상태였다
2. 9월 27일 03:18세 지갑이 같은 초에 합계 0.4 ETH를 넣었다. 디와이스왑은 사기 조직이 미리 준비한 시험용 지갑으로 판단했다
3. 9월 27일 16:18기와 공식 X가 "현재 메인넷을 운영하지 않는다"며 메인넷 접속 정보는 사실이 아니라고 알렸다
4. 9월 27일 16:29브리지에서 약 766.25 ETH가 빠져나갔다
5. 9월 27일 17:06디와이스왑이 기와 메인넷으로 알았던 체인이 가짜였다고 공지했다
6. 10월 22일금감원이 소비자경보 '주의'를 발령했다

디와이스왑 집계로 이 브리지에 돈을 넣은 주소는 1,335개, 들어간 이더리움은 약 767.65 ETH다. 가짜 체인은 단순한 가짜 웹페이지가 아니라 실제로 거래 묶음을 이더리움에 올리며 돌아간 네트워크였고, 그 안에서 토큰 매매와 발행도 이뤄졌다. 디와이스왑은 이 기록으로 자사 이용 지갑 298개, 거래 1,479건을 되살렸다고 밝혔다. 빠져나간 766.25 ETH는 22일 낮 업비트 원화마켓 가격(1개 325만2천 원)으로 약 24억9천만 원어치다.

디와이스왑, 200 ETH 넘게 먼저 돌려줬다

디와이스왑은 "디와이스왑 컨트랙트가 뚫린 사고가 아니다"라며 자신들도 가짜 네트워크의 피해자라고 밝혔다. 그러면서도 자체 자금으로 피해 이용자에게 200 ETH 넘게 지급했고, 브리지 배포자와 자금 출처, 인출 자금의 이동 경로를 계속 추적하고 있다고 했다. 조사에 따르면 시험용으로 보이는 지갑 가운데 두 곳은 사건 약 25일 전 바이낸스와 게이트에서 각각 자금을 받은 뒤 쉬고 있었다.

금감원은 온체인 사기는 돈이 몇 분에서 몇 시간 안에 옮겨져 피해를 되돌리기가 매우 어렵다고 짚었다. 특히 탈중앙화거래소는 자산과 거래를 통제하는 중앙 운영 주체가 없어 사기로 보낸 자산을 사실상 구제받기 어렵다고 설명했다. 금감원은 앞으로 새 블록체인을 개발하는 가상자산사업자가 개발 진행 상황과 유의사항을 이용자에게 알리도록 할 계획이다.

'기습 출시' 소식을 봤다면