큐빅 지갑 1,404개 털려 네트워크 정지…약한 시드 탓

수수료 없는 레이어1 블록체인 큐빅(Qubic)에서 지갑 1,404개가 한꺼번에 털렸다. 큐빅은 18일 공식 X(옛 트위터)에 올린 사고 경과에서 공격자가 한국시간 18일 오전 8시 42분부터 10시 26분까지 1시간 44분 동안 이들 지갑에서 자체 코인 QU 약 2조9,400억 개를 빼냈다고 밝혔다. 공격 직전 MEXC 거래 가격으로 따지면 약 140만 달러어치다. 네트워크를 검증하는 노드들은 체인을 통째로 멈춰 빠져나간 코인이 더 움직이지 못하게 했다.

1. 10월 18일 08:42공격자, 시드가 약한 큐빅 지갑에서 인출 시작
2. 10월 18일 10:26마지막 인출, 지갑 1,404개에서 QU 약 2조9,400억 개 빠져나가
3. 10월 18일 13:22깃허브에 웹지갑 4.26.4 공개, 시드 생성 방식 교체
4. 10월 18일 21:29큐빅 공식 X, 사고 경과와 피해 규모 공개
5. 10월 19일 05시대MEXC에서 QUBIC, 공격 직전보다 약 13% 낮은 가격까지 밀려(1시간봉)

사파리에서 만든 시드가 표적이 됐다

시드는 지갑을 열고 코인을 옮기는 데 쓰는 비밀 문자열이다. 큐빅은 일부 지갑 시드가 충분히 무작위로 만들어지지 않아 원래보다 추측하기 쉬웠고, 공격자가 이 점을 노렸다고 설명했다. 회사는 문제가 시드를 만드는 과정에 있었고 큐빅 프로토콜 자체의 결함은 아니라고 했다.

피해 대상으로 지목된 시드는 세 가지다. 18일 이전에 아이폰·아이패드에서 어떤 브라우저로든 만든 시드, 18일 이전에 맥의 사파리 브라우저로 만든 시드, 2025년 7월 이전에 큐빅 iOS 앱으로 만든 시드다. 큐빅 웹지갑의 깃허브 수정 내역을 보면 55자 시드의 글자를 고를 때 쓰던 자바스크립트 Math.random() 함수가 암호용 난수 함수 crypto.getRandomValues()로 바뀌었다. Math.random()은 보안용 비밀값을 만드는 데 쓰면 안 되는 함수다. 큐빅은 4.26.4 버전에서 시드 생성을 고쳐 더는 약한 시드가 만들어지지 않는다고 밝혔다.

약한 난수로 지갑이 털린 사례는 처음이 아니다. 2023년에는 트러스트월렛 브라우저 확장 프로그램과 비트코인 도구 리브비트코인 익스플로러에서 비슷한 결함이 드러났다. 큐빅은 지난 7월 13일에도 깃허브 조직 계정 하나가 뚫려 저장소 정보가 빠져나가는 사고를 겪었다. 당시 큐빅은 일부 웹지갑 이용자에게 새 주소로 옮기라고 공지했다.

틱 85,371,949에서 멈춘 체인

큐빅은 블록 대신 '틱' 단위로 거래를 처리한다. 네트워크를 운영하는 검증 노드 '컴퓨터(Computor)'들은 틱 85,371,949에서 네트워크를 보호 목적으로 멈추기로 했다. 큐빅은 거래가 처리되지 않는 동안에는 빠져나간 코인을 옮기거나 팔 수 없다고 했다.

회사에 따르면 빼낸 코인의 87.1%는 큐빅 네트워크를 떠나지 못한 채 그대로 묶여 있다. 나머지 12.9%, 약 3,790억 개는 거래소 MEXC로 보내졌지만 MEXC가 약 1시간 만에 받은 계정을 동결했다. 큐빅은 다른 거래소에도 알렸고, 거래소들이 QUBIC 입출금을 멈췄다고 밝혔다. 네트워크를 언제 다시 켤지는 공지하지 않았다.

되찾는 방법은 컴퓨터 451곳이 정한다

큐빅은 피해 처리를 "네트워크 규칙에 따른 컴퓨터 쿼럼의 결정"이라고 밝혔다. 큐빅 공식 문서를 보면 컴퓨터는 최대 676곳이고, 쿼럼 결정에는 3분의 2인 451곳 이상의 표가 필요하다. 핵심 개발팀은 피해 주소를 모두 가려내 쿼럼에 낼 선택지를 준비하고 있으며, 커뮤니티 의견을 모으는 투표를 디스코드에서 열었다. 전체 기술 보고서는 복구 방안이 정해진 뒤 내겠다고 했다.

피해자에게는 자기 나라 경찰이나 사이버범죄 수사기관에 신고하라고 권했다. 지갑 주소, 잃은 수량, 큐빅 탐색기의 거래 링크를 함께 내야 하며, 정식 신고가 있어야 거래소가 자금 동결을 이어갈 수 있다는 설명이다. 큐빅은 "큐빅 측은 먼저 연락하거나 시드를 묻거나 돈을 받고 복구를 해 주겠다고 하지 않는다"며 사칭 연락을 조심하라고 했다.

원화마켓엔 없고 해외 시장에선 8% 밀려

QUBIC은 업비트·빗썸·코인원 원화마켓에 상장돼 있지 않다. 해외 거래소 MEXC 1시간봉을 보면 QUBIC은 공격 직전인 18일 오전 7시대를 0.0000004747달러로 마감했다. 19일 오전 5시대에는 0.0000004145달러까지 약 13% 떨어졌고, 19일 오전 10시 30분 무렵에는 0.0000004383달러로 공격 직전보다 약 8% 낮은 수준에서 거래됐다. 네트워크가 멈춘 가운데서도 거래소 안의 매매는 이어지고 있다. 코인게코 기준 QUBIC 시가총액은 약 6,290만 달러다.