업비트, 샌드박스 유의 해제…지정 39일 만에 입금도 곧 재개

업비트가 샌드박스(SAND)의 거래 유의 종목 지정을 2일 오후 4시 해제했다. 8월 24일 지정한 지 39일 만이다. 업비트는 해제 공지에서 "샌드박스 측과의 소명 과정을 통해 보안 사고의 경위 및 후속 대응에 대한 자료를 제출받아 검토"했고, 그 결과 지정 사유가 해소됐다고 판단했다고 밝혔다. 막혀 있던 SAND 입금도 곧 다시 열린다.

브리지 해킹에서 유의 지정까지

샌드박스는 메타버스 게임 플랫폼이고, SAND는 이 게임에서 쓰는 코인이다. 문제는 SAND를 이더리움에서 다른 블록체인으로 옮겨 주는 다리 역할의 '브리지'에서 터졌다. 샌드박스가 8월 27일 공식 X에 올린 사후 보고서와 업비트 공지에 나온 경과는 다음과 같다.

1. 8월 22일 08:41공격자가 베이스·BNB체인에서 담보 없는 SAND 발행 시작
2. 8월 22일 11:12업비트, SAND 입출금 중단
3. 8월 22일 14:26샌드박스, 세 체인의 브리지를 계약 단계에서 폐쇄
4. 8월 24일 15:00업비트, 거래 유의 종목 지정(SAND/KRW·SAND/BTC)
5. 9월 9일업비트, 이더리움 네트워크 SAND 출금만 재개
6. 10월 2일 16:00업비트, 유의 종목 지정 해제

지정 당시 업비트는 원인이 밝혀지지 않았거나 치유되지 않은 해킹 등 보안 사고를 사유로 들었다. 지정 기간은 9월 마지막 주(9월 28일~10월 4일)까지로 잡혔고, 사유가 해소되지 않으면 거래지원 종료까지 갈 수 있다고 공지했다. 지정 당일 업비트 SAND 일봉(오전 9시 기준)은 61.5원에서 48.0원으로 22% 떨어졌다.

이더리움에 있던 SAND는 건드리지 못했다

사후 보고서에 따르면 공격자는 베이스·BNB체인의 SAND 토큰 계약에 있던 편의 기능을 이용해 브리지 관리자 권한을 가로챘다. 그런 다음 이더리움에 실제로 맡긴 적 없는 SAND를 두 체인에서 찍어 냈고, 일부는 베이스의 탈중앙화 거래소에서 팔아 이더리움(ETH)을 챙겼다. 또 일부는 이더리움 쪽 금고로 되돌려 보내 진짜 SAND를 빼냈다. 금고에서 빠져나간 양은 1,474만2,341.84 SAND, 당시 가치로 약 69만7천 달러다.

샌드박스는 전체 경제적 피해를 약 149만7천 달러로 추산했고, 이 가운데 공격자가 실제로 챙긴 돈은 98만7천 달러라고 밝혔다. 회사는 자사가 가진 키는 유출되지 않았고, 이더리움과 폴리곤의 SAND는 영향이 없으며 이더리움 SAND 총발행량 30억 개도 그대로라고 설명했다. 사고 직전 베이스·BNB체인에 정상적으로 옮겨 둔 SAND를 가진 지갑에는 이더리움 SAND로 1대1 보상하고, 재원은 샌드박스 금고에서 대며 새 SAND는 발행하지 않는다고 했다. 피해 잔액의 72% 이상은 중앙화 거래소 두 곳에 있었고, 이 거래소 이용자는 거래소를 통해 직접 보상받게 된다고 덧붙였다.

해제 하루 만에 86% 높은 값까지

해제 공지가 나온 2일 오후 4시대 업비트 SAND는 65원대에서 83.5원까지 올랐다. 다음 날인 3일 오후 2시대에는 114원을 찍었는데, 1일 종가 61.4원보다 86% 높은 값이다. 하루 20억 원 안팎이던 업비트 SAND 거래대금은 2일 오전 9시부터 24시간 동안 2,295억 원으로 불었다. 오름세는 해외에서도 함께 나타났다. 바이낸스에서 SAND는 같은 오후 4시대에 0.0482달러에서 0.0613달러까지 올랐다.

5일 오전 10시 30분 업비트 SAND는 100원, 빗썸은 99.67원에 거래됐다. 바이낸스 가격(0.07375달러)을 원화로 바꾸면 약 99.2원으로, 국내 가격이 해외보다 얼마나 비싼지를 보여 주는 김치 프리미엄(김프)은 업비트 기준 약 0.8%였다. 같은 시각 바이낸스 SAND 무기한 선물의 펀딩비는 -0.09%로, 숏(매도 포지션) 쪽이 롱(매수 포지션) 쪽에 수수료를 내는 상태였다.