네임닷컴 도메인 15개 탈취…디파이 사이트 방문자 지갑 노려

디파이(탈중앙화 금융) 웹사이트 10여 곳의 주소가 한꺼번에 가로채여, 방문자가 지갑 자산을 빼가는 가짜 페이지로 연결됐다. 해당 사이트들은 모두 도메인 등록업체 네임닷컴(Name.com)에 등록된 주소였다. 네임닷컴은 한국시간 1일 새벽 공식 X 계정에서 "금요일 밤 늦게 네임닷컴의 도메인 여러 개가 방문자의 가상자산 지갑에 접근하려는 계획의 일환으로 부당하게 다른 곳으로 연결됐다"며 해당 도메인을 모두 복구했다고 밝혔다.

웹 호스팅 업체 버셀(Vercel)은 31일 보안 공지에서 자사와 연결된 도메인 10개가 영향을 받았다고 밝혔다. 미국 코인 전문매체 더블록은 네임닷컴이 피해 고객 도메인을 15개로 확인했다고 보도했다.

금요일 밤, 사이트 주소가 엉뚱한 곳을 가리켰다

공격은 미국 동부 시간 금요일(30일) 밤에 시작됐다. 사이트 주소(도메인)가 실제 서버 대신 공격자 서버를 가리키도록 바뀌면서, 주소창에 정상 주소를 쳐도 가짜 화면이 떴다. 흐름은 다음과 같다(한국시간).

1. 10월 31일 10시 10분께토큰 발행 플랫폼 플랩(flap.sh) 사이트가 처음 탈취된 것으로 더블록이 파악
2. 10월 31일 11시 13분플랩, "공식 사이트가 DNS 하이재킹(주소 가로채기)으로 승인되지 않은 사이트로 연결되고 있다"며 접속·지갑 연결·서명 중단 요청
3. 10월 31일 11시 54분보안업체 블록에이드, 플랩과 킨츠(Kintsu) 사이트에 대한 프론트엔드 공격 경보
4. 10월 31일 12시 16분블록에이드, 같은 공격을 받은 사이트 10곳 추가 공개 — 피클 파이낸스·오리가미·플럭스빔·에셜론 등
5. 10월 31일 15시 53분오리가미, 자사 금고(볼트) 전체 일시 중지
6. 11월 1일 02시 13분네임닷컴, 공식 X에서 피해 도메인 복구 사실 공개

블록에이드는 추가로 확인한 사이트들이 '스텝 드레이너(Step Drainer)'를 띄우고 있다고 밝혔다. 드레이너는 방문자가 지갑을 연결하고 서명하면 토큰 사용 권한을 넘겨받아 자산을 빼가는 악성 코드다.

스마트 계약은 멀쩡했고 화면만 바뀌었다

피해 프로젝트들은 블록체인 위의 스마트 계약(자동 실행 프로그램)은 공격받지 않았다고 입을 모았다. 오리가미는 "금고의 스마트 계약과 자금은 영향을 받지 않았고 웹사이트만 다른 곳으로 연결됐다"고 밝혔다. 솔라나 기반 거래소 플럭스빔도 "온체인에서는 정상 운영 중이며 피해는 웹사이트에 한정됐다"고 했다. 밈코인 발행 플랫폼 스톡펀(StonkFun)은 사이트를 내리고 새 인프라로 옮겨 복구했다고 공지했다.

피해 규모는 아직 공식 집계가 없다. 더블록이 공격자 지갑 3곳을 추적한 결과 빠져나간 돈은 약 13만8천 달러로, 대부분 모나드(MON)와 로빈후드 체인의 이더리움이었다. 이 수치에는 솔라나·앱토스 쪽 피해가 빠져 있고, 피해자 수도 알려지지 않았다. MON은 업비트 원화마켓에 상장돼 있으며, 1일 낮 12시 30분께 업비트에서 26.3원에 거래됐다.

버셀인가, 네임닷컴인가

원인을 두고는 말이 엇갈린다. 킨츠는 "버셀 쪽에서 일어난 일로 우리가 통제할 수 없었다"고 주장했고, 오리가미도 "버셀과 연결된 네임서버(도메인 주소를 안내하는 서버)에 대한 공격"이라고 공지했다. 버셀은 공지에서 "네임닷컴이 가상자산(디파이) 기업을 노린 도메인 탈취 캠페인을 조사하고 있다"며 자사 고객이 따로 할 조치는 없고 조사를 돕고 있다고 밝혔다.

반면 플럭스빔 개발사 클로크드(Cloakd)는 네임닷컴 담당자와 통화했다며 "네임닷컴은 자기 쪽이 아니라 제3자 문제라는 입장"이라고 전했다. 네임닷컴은 더블록에 보낸 입장에서 "피해 도메인을 모두 복구했고 계정 보유자들과 직접 협력하고 있다"고만 밝혔다. 오리가미는 원인 분석이 끝날 때까지 금고 중지를 유지하겠다고 했다.

서명했다면 승인부터 끊어야