큐빅, 정지 42시간 만에 재가동…피해 청구 내년 5월까지

해킹으로 멈췄던 레이어1 블록체인 큐빅(Qubic)이 약 42시간 만에 다시 돌아가기 시작했다. 큐빅은 21일 오전 3시 14분(한국시간) 공식 X에 네트워크 검증 노드들의 투표로 복구안이 승인됐고, 피해 자금을 돌려받는 청구 사이트를 열었다고 밝혔다. 회사는 "확인된 소유자들에게 첫 자금이 이미 돌아갔다"고 했다.

42시간 멈춘 체인, 털린 코인은 에스크로로

큐빅 탐색기 기록을 보면 체인은 18일 오전 10시 32분 틱 85,371,949을 끝으로 거래 처리를 멈췄다. 큐빅은 블록 대신 '틱' 단위로 거래를 처리한다. 다음 기록은 20일 오전 5시의 틱 85,371,952다. 큐빅은 정지 기간에 피해 자금을 공격자가 손댈 수 없는 보호용 에스크로(제3자 보관 계정)로 옮겼고, 이것이 복구를 가능하게 했다고 설명했다.

앞서 공격자는 18일 오전 1시간 44분 동안 시드(지갑 비밀 문자열)가 약하게 만들어진 지갑 1,404개에서 자체 코인 QU 약 2조9,400억 개를 빼냈다. 10월 18일 이전 아이폰·아이패드(모든 브라우저)나 맥 사파리, 2025년 7월 이전 큐빅 iOS 앱에서 만든 시드가 충분히 무작위가 아니었던 탓이다. 빠져나간 코인의 87.1%는 체인 안에 묶였고 12.9%는 거래소 MEXC로 넘어간 뒤 계정이 동결됐다. 피해 처리 방식은 네트워크를 운영하는 검증 노드 '컴퓨터(Computor)'들의 쿼럼(정족수) 결정에 맡겨졌고, 이번에 그 결정이 나왔다.

서명만으로는 주인을 가리지 못한다

청구에는 피해 주소(60자 신원값), 업데이트된 지갑에서 새로 만든 받을 주소, 피해 주소로 서명한 메시지, 소유 증거가 필요하다. 받을 주소는 피해가 난 기기나 브라우저가 아닌 곳에서 만들어야 한다. 서명 메시지는 청구를 새 주소와 잇는 용도일 뿐이다. 시드가 약해 공격자도 똑같은 서명을 만들 수 있기 때문이다. 그래서 주인은 공격자가 가질 수 없는 증거로 가린다. 청구 사이트가 꼽은 증거는 다음과 같다.

• 피해 주소로 출금한 거래소 출금 내역 — 거래소 본인 인증과 이어져 가장 강한 증거
• 그 주소가 적힌 장외거래(OTC) 확인서
• 사고 전 본인 소유 출처에서 자금이 들어온 흐름
• 그 주소에 돈을 보낸 다른 안전한 주소로 서명한 메시지
• 본인 진술서 — 보조 자료일 뿐 증거는 아니다

외부 업체 디딧(Didit)을 통한 본인 확인은 선택이다. 큐빅은 통과 여부만 받고 서류는 디딧에 남는다고 했다. 증거가 강하고 다투는 사람이 없는 단건 청구는 '빠른 심사'로, 경쟁 청구가 있거나 증거가 약하거나 금액이 큰 청구는 핵심 개발자가 보는 '확장 심사'로 나뉜다. 승인된 청구는 지급 전 7일 동안 주소와 금액만 공개되고, 그동안 이의가 풀리지 않은 청구의 자금은 에스크로에 그대로 묶인다. 큐빅은 일찍 낸 청구가 늦게 낸 정당한 청구보다 앞서지 않는다며 서두를 필요는 없다고 했다.

MEXC로 간 몫은 더 오래 걸린다

돌려받는 경로는 돈이 어디 있느냐에 따라 다르다. 체인 안에 남은 피해 자금은 복구용 에스크로 계정에서 돌려준다. MEXC로 넘어간 몫은 거래소를 거쳐 따로 돌려받는데, 큐빅은 이 절차가 더 느리고 수사기관 협조에 달려 있다고 밝혔다. 시드는 약했지만 털리지 않은 지갑은 지급 보류 명단에 올라 있다가 청구가 확인되면 풀린다. 토큰·지분 같은 보유 자산은 청구 승인 때 새 주소로 넘어가고, 큐빅 예치 상품 QEARN에 잠긴 물량 등은 이후 차례로 돌려준다. 큐빅 거래소 QX에 걸려 있던 주문은 복구 과정에서 취소됐다. 큐빅은 전체 기술 보고서를 따로 내겠다고 했다.

QUBIC, 공격 직전보다 3% 낮은 수준

QUBIC은 업비트·빗썸·코인원 원화마켓에 상장돼 있지 않다. 해외 거래소 MEXC 1시간봉을 보면 QUBIC은 공격 직전인 18일 오전 7시대를 0.0000004747달러로 마감한 뒤 19일 오전 5시대 0.0000004145달러까지 밀렸다. 체인이 다시 돈 20일 오전 5시대는 0.0000004818달러로 마감했다. 21일 오전 10시 30분에는 0.0000004617달러에 거래돼 저점보다 약 11% 높고, 공격 직전보다는 약 2.7% 낮다.