사건 개요
이니시아(Initia) 블록체인에서 10월 23일(현지시간) 발생한 보안사고로 USDC 준비금이 약 100만 달러에서 최저 63달러로 급감했고, 이로 인해 일반 이용자의 출금 시도 55건이 실패했다고 비트쿼리(Bitquery)가 집계했다. 이니시아는 같은 날 자체 레이어1(L1)과 롤업을 중단했으며 수정 작업과 감사·자산 회수를 진행 중이라고 발표했다.
준비금·출금 실패·유출 추정치
| 항목 | 수치(출처: 비트쿼리·이니시아 발표) |
|---|---|
| 준비금(사건 전) | 약 100만 달러 |
| 준비금(최저) | 63달러 |
| 준비금(같은 날 18시 52분) | 약 2만4,000달러 |
| 출금 실패 건수 | 55건 |
| 이니시아·비트쿼리 추산 유출액 | 약 300만 달러(출금으로 지급된 자산) |
| 미인가 잔액의 액면가(비트쿼리 추정) | 약 700만 달러 |
비트쿼리는 대부분의 실패한 출금 시도가 하나의 봇이 같은 잔액을 반복 제출한 결과라고 분석했다. 공격자는 미인가 잔액을 통해 준비금을 먼저 인출하고, 이후 더 큰 규모의 출금 요청도 준비금 고갈로 실패한 것으로 나타났다.
원인과 기술적 메커니즘
이니시아는 10월 24일 업데이트에서 공격자가 MoveVM 스크립트 캐싱(Script Caching) 버그를 이용했다고 지적했다. 이 결함을 통해 공격자는 담보 없이 WETH·iUSD·USDC 등 자산의 미인가 잔액을 생성했지만, 각 자산의 총공급량은 변하지 않았다고 회사는 설명했다. 이니시아는 네이티브 토큰인 INIT이 추가 발행되지 않았다고 전했다.
- 공격 방식은 미인가 잔액(허위 잔액)을 생성해 준비금을 꺼내는 구조였다
- 준비금이 다른 블록체인에 묶여 있을 경우 출금은 해당 준비금의 실제 유동성에 의존한다는 점이 드러났다
비트쿼리는 이니시아에 표시되는 정상 토큰이 다른 블록체인에 보관된 자산으로 뒷받침되고, 이를 회수하려면 해당 준비금이 실제 자산을 내놓아야 한다고 설명했다. 공격자는 미인가 잔액으로 담보를 먼저 예치하지 않고도 준비금을 가져간 점이 결정적이었다.
영향과 논의 지점
이번 사건은 브리지와 크로스체인 준비금 모델의 위험성을 부각했다. 서클(Circle)의 분류에 따르면 브리지에서 발행되는 USDC는 특정 브리지에 잠긴 자산이 뒷받침하는 제3자 토큰이고, 서클이 직접 발행해 달러로 상환받을 수 있는 네이티브 USDC와는 구분된다. 따라서 특정 브리지의 준비금 고갈은 해당 경로를 통한 출금을 차단할 수 있지만, 서클의 전체 달러 담보 전반의 부실을 의미하지는 않는다고 평가됐다.
이니시아는 10월 24일 기준 L1과 롤업을 계속 중단한 상태이며, 수정 작업을 며칠 내로 완료하고 감사를 마칠 것이라고 밝혔다. 다만 업데이트에는 확정된 재가동 날짜나 보상 조건이 포함되지 않았다.
이번 사건은 스테이블코인의 크로스체인 응용과 브리지 설계가 실제 유동성·상환 메커니즘과 어떻게 연결되는지, 그리고 스마트컨트랙트·가상머신 구현상의 결함이 준비금 유효성에 어떤 영향을 주는지를 다시 점검하게 했다.
- 참고: 해당 보도는 비트쿼리와 암호화폐 전문매체 등의 집계를 기반으로 하고 있다
