거래 봇 블룸, 94초 새 9408 SOL 털려…전액 보상 약속

솔라나 등에서 코인을 사고파는 텔레그램 거래 봇 '블룸(Bloom)' 이용자 9명의 지갑에서 26일 오전 솔라나(SOL) 약 9,408개가 빠져나갔다. 당시 시세로 약 95만 달러어치다. 블룸은 같은 날 저녁 공식 X 계정에 성명을 내고 "피해 금액 100%를 보상하겠다"고 밝혔다.

블룸은 공격이 외부 업체가 만든 모듈(부품 프로그램)의 원격 코드 실행(RCE) 취약점을 통해 이뤄졌으며 이용자의 개인 키는 노출되지 않았다고 설명했다. 반면 블록체인 분석 업체 비트쿼리(Bitquery)는 조사 보고서에서 빠져나간 거래가 모두 지갑 주인의 개인 키로 서명돼 있었다고 밝혀, 원인을 두고 양측 설명이 엇갈린다.

94초 동안 지갑 48개가 비었다

비트쿼리 보고서에 따르면 공격자는 26일 오전 10시(한국 시간) 무렵 가장 큰 지갑에서 0.01 SOL을 새 주소로 보내 시험했다. 2분이 안 돼 피해자 9명의 지갑에서 몇 초 간격으로 소액을 한 번씩 더 빼 봤다. 본격적인 인출은 10시 3분 7초에 시작돼 10시 4분 41초에 끝났다. 94초 동안 지갑 48개가 차례로 비었고, 한 번에 가장 많이 빠진 양은 1,636 SOL이었다.

피해자 9명 가운데 가장 많이 잃은 사람은 지갑 5개에서 1,864 SOL(약 18만9천 달러)을 잃었다. 지갑 하나당 피해액의 중간값은 약 89 SOL(약 9천 달러)이다. 지갑에 남아 있던 USDC 약 5만6,853달러 가운데 약 5만2,035달러는 주인들이 먼저 안전한 곳으로 옮겼다. 훔친 SOL은 오후 1시 30분께 보관용 지갑 한 곳(6nYyCz…moe9)으로 모였고, 비트쿼리가 마지막으로 확인한 오후 4시 34분까지 이 지갑에서 밖으로 나간 거래는 없었다.

'키는 무사' 대 '주인 키로 서명'

피해 지갑 수도 블룸은 49개, 비트쿼리는 48개로 하나 차이가 난다. 비트쿼리는 48개 지갑을 9명으로 묶은 것 가운데 2명분은 인출 순서를 주요 근거로 삼았다고 밝혔다. 블룸은 성명에서 "정확한 공격 경로를 찾았다"고 했지만 해당 모듈이 어느 업체 것인지는 공개하지 않았다.

몇 달째 쓰지 않던 지갑도 털렸다

비트쿼리에 따르면 피해 지갑 48개 중 24개는 사건 전 30일 동안 블룸 거래 수수료를 한 번도 내지 않았고, 5개는 2025년 상반기 이후 블룸으로 거래한 기록이 없었다. 최근 쓰지 않던 지갑도 함께 비었다는 뜻이다.

블룸은 텔레그램 봇과 웹 관리 화면, 다른 거래 화면에 붙여 쓰는 브라우저 확장 프로그램으로 이뤄진 거래 도구다. 공식 사이트에 따르면 솔라나와 BNB체인·베이스·이더리움 등을 지원하고 남의 매매를 따라 하는 카피 트레이딩, 여러 지갑 동시 주문 같은 기능을 제공한다. 블룸은 성명에서 "2018년부터 소프트웨어를 만들어 왔고 2021년부터 코인 분야에서 사업해 왔다"며 서비스를 계속 운영하겠다고 밝혔다.

업비트 솔라나 13만3,500원

인출이 있던 26일 오전 10시 무렵 솔라나는 바이낸스에서 101달러 선에 거래됐다. 27일 오후 8시 30분 기준으로는 바이낸스에서 100.13달러, 업비트 원화마켓에서 13만3,500원, 빗썸에서 13만3,600원에 거래됐다. 업비트 가격은 바이낸스 가격을 원화로 환산한 값보다 약 0.6% 높았다. 블룸 사건은 블룸 이용자 지갑에서 벌어진 일로, 솔라나 네트워크 자체의 장애는 아니다.