WAX 브리지, '마이너스 수수료'에 뚫려…하루 만에 재개

스테이블코인 약 7만5천 달러어치를 포함한 자산이 수수료 입력란의 허점 하나로 빠져나갔다. 게임·NFT용 블록체인 WAX의 멀티체인 브리지(다른 블록체인과 토큰을 주고받는 연결 장치)가 22일 저녁 공격을 받았고, WAX는 23일 브리지를 멈췄다가 하루 만에 고쳐 다시 열었다. 업비트는 22일 밤 왁스(WAXP)에 대해 거래 유의 촉구를 냈다.

수수료 칸에 마이너스를 넣었다

WAX 블록체인 기록에 따르면 공격자는 22일 오후 6시 6분(한국시간) fasdfas.al 이라는 계정을 만들었다. 40분 뒤인 6시 46분, 이 계정은 브리지 토큰 계약(eth.token)에 WAX 위의 USDC 5만2,986.5개를 솔라나로 보내 달라는 출금 요청을 넣었다. 이때 수수료 상한(max_fee) 칸에 출금액과 똑같은 크기의 음수, 즉 −5만2,986.5개를 적었다.

보안업체 블록에이드(Blockaid)에 따르면 이 계약은 출금액에 수수료를 더한 만큼을 사용자 잔액에서 빼는데, 수수료가 0 이상인지 확인하지 않았다. 음수 수수료가 출금액을 상쇄해 실제로 빠진 잔액은 0이었지만, 브리지는 전액 출금으로 기록했다. 솔라나·이더리움 쪽은 이 기록을 믿고 진짜 토큰을 내줬다. 블록에이드는 솔라나·이더리움 쪽 지급 자체는 정상 절차였고, 문제는 WAX 쪽 계약에 있었다고 짚었다.

1. 10월 22일 18:06공격자 계정 fasdfas.al 생성
2. 10월 22일 18:46USDC 5만2,986.5개 출금 요청, 수수료 칸에 같은 크기 음수 입력
3. 10월 22일 18:47USDT·DAI·WETH·WBTC도 같은 방식으로 출금 요청
4. 10월 22일 19:00솔라나에서 USDC 지급, 5분 뒤 이더리움에서도 지급
5. 10월 22일 21:33블록에이드, X에 공격 진행 중이라고 경보
6. 10월 22일 23:25업비트, 왁스(WAXP) 유의 촉구 공지
7. 10월 23일 07:02WAX, 브리지 처리 중단 공지
8. 10월 24일 00:50WAX 브리지 처리 재개

블록에이드가 집계한 유출 규모는 USDC 약 5만2,986개, USDT 2만1,558개, DAI 840개, WETH 2.55개, WBTC 0.11개로 모두 5건의 거래였다. 달러에 연동된 스테이블코인만 합쳐도 약 7만5천 달러이고, 스테이블코인이 아닌 WETH·WBTC도 포함됐다.

WAX "체인과 WAXP는 피해 없다"

WAX는 23일 오전 7시 2분 공식 X 계정에 "WAX 멀티체인 브리지에 영향을 준 사고를 인지하고 조사 중"이라며 예방 차원에서 브리지 처리를 멈췄다고 밝혔다. 이어 "이번 공격은 소수의 스테이블코인에만 영향을 줬고 WAXP 토큰은 영향을 받지 않았다"며 "WAX 블록체인 자체도 영향이 없고 정상 운영 중이며, 문제는 브리지 애플리케이션 계약 하나에 국한된다"고 설명했다. 이용자에게는 브리지가 다시 열렸다고 확인할 때까지 브리지 전송을 하지 말라고 요청했다.

재개는 하루 만이었다. WAX는 24일 새벽 "브리지가 23일 15시 50분(UTC, 한국시간 24일 0시 50분)에 수정 사항과 추가 안전장치를 갖춘 채 처리를 재개했다"며 "잃어버린 준비금은 다시 채워 모든 브리지 출금을 보장하겠다"고 공지했다. 다만 준비금을 언제, 어떤 자금으로 채우는지는 밝히지 않았다. 공격자 지갑의 자금이 회수됐다는 발표도 아직 없다.

업비트는 '유의 촉구'…입출금 중단 공지는 없어

업비트는 22일 오후 11시 25분 공지에서 "왁스(WAXP) 멀티체인 브리지에서 보안 문제가 발생한 것으로 의심되는 정황이 확인됐다"며 시세 변동성이 커질 수 있으니 투자에 유의하라고 안내했다. 근거로는 블록에이드의 X 게시글과 공격 거래 기록을 함께 걸었다. 유의 촉구는 투자 주의를 알리는 안내 공지로 '거래 유의 종목' 지정과는 별개다. 25일 오후까지 업비트에 왁스 입출금 중단 공지는 올라오지 않았다. 왁스는 업비트 원화·BTC 마켓과 빗썸에서 거래된다.

가격은 공격 당일 크게 출렁였다. 바이낸스 일봉(UTC) 기준 WAXP는 22일 0.00484달러로 출발해 장중 0.00439달러까지 9% 넘게 밀렸고 0.00457달러에 마감했다. 이후 0.0045~0.0046달러대에 머물렀다. 25일 오후 3시 30분 업비트에서는 6.07원에 거래됐다. 이날 업비트에서 한때 7.26원까지 오르며 24시간 거래대금이 약 33억 원으로 불어났는데, 22~24일 하루 2억~9억 원대와 비교하면 크게 늘었다. 같은 시각 빗썸 가격은 6.076원이었고, 원화로 환산한 바이낸스 가격(약 6.00원)보다 업비트가 1.1%가량 비쌌다.