솔라나 기반 모바일 생태계와 인젝티브 네트워크의 NFT 마켓플레이스에서 보안 사고가 잇따랐다. 솔라나 시커(Seeker)의 탈중앙화 애플리케이션(dApp) 스토어에는 지갑 복구 문구를 요구하는 악성 앱이 등록됐다가 삭제됐고, 탈리스(Talis)에서는 스마트 컨트랙트 결함을 악용한 공격으로 약 5700개 NFT가 빠져나갔다.
시커 스토어에 악성 앱 노출
코인텔레그래프는 1일(현지시간) 솔라나 시커의 dApp 스토어에 ‘SKR Claim’이라는 이름의 앱이 등록됐다고 보도했다. 이 앱은 이용자에게 시드 구문(Seed Phrase)을 입력하도록 유도했다. 시드 구문은 지갑 접근 권한을 복구하는 핵심 정보로, 외부에 노출되면 해당 지갑에 보관된 가상자산이 탈취될 수 있다.
시커 측은 개발자 포털이 침해되면서 악성 앱이 약 1시간 동안 스토어에 노출됐다고 설명했다. 이후 해당 앱을 삭제하고 악용된 보안 취약점을 수정했다. 실제로 이용자 피해가 발생했는지와 피해 규모는 공개되지 않았다.
이번 사고는 모바일 기기나 공식 앱 유통 공간에 등록됐다는 사실만으로 dApp의 안전성이 보장되는 것은 아니라는 점을 보여준다. 특히 지갑 복구 문구는 거래 서명이나 일반적인 서비스 로그인에 필요한 정보와 성격이 다르다. 해당 정보가 외부로 전달되면 지갑 자체의 통제권이 넘어갈 수 있다.
탈리스, NFT 판매·경매 중단
인젝티브 네트워크에서는 NFT 마켓플레이스 탈리스의 마켓플레이스 및 경매 스마트 컨트랙트 취약점이 공격에 이용됐다. 탈리스는 10월 31일 사건을 공개했으며, 공격자는 계약에서 무단으로 가져간 NFT를 기존 컬렉션 단위 매수 제안에 판매한 것으로 전해졌다.
크립토브리핑은 공격자가 NFT 매각으로 약 445 INJ, 약 3100달러를 얻었다고 보도했다. 이 금액은 공격자가 실제 매각으로 확보한 수익이며, 유출된 NFT 전체 평가액이나 소유자들의 총손실을 의미하지 않는다.
| 구분 | 확인된 내용 |
|---|---|
| 사고 공개 | 2026년 10월 31일 |
| 무단 인출 NFT | 약 5700개 |
| 공격자 매각 수익 | 약 445 INJ·약 3100달러 |
| 반환 절차 대상 | 스마트 컨트랙트에 보관된 NFT 2만6000개 이상 |
탈리스는 인젝티브에서 신규 NFT 판매 등록과 경매를 중단했다. 다른 네트워크에서도 신규 판매 등록과 경매를 일시적으로 멈췄다. 다만 이번 조치는 탈리스의 거래 기능에 관한 것으로, 인젝티브 블록체인 전체가 중단됐다는 의미는 아니다.
반환·보상 방안 검토
탈리스는 스마트 컨트랙트에 보관돼 있던 NFT 2만6000개 이상을 원래 소유자에게 돌려보내는 절차에 착수한 것으로 전해졌다. 이 수치는 공격자가 무단 인출한 약 5700개의 회수량을 뜻하지 않는다. 반환 완료 여부는 확인되지 않았으며, 탈리스는 영향을 받은 NFT와 사고 분석을 공개할 계획이라고 밝혔다.
이번 사건에서는 NFT를 맡긴 기존 소유자뿐 아니라 공격자가 기존 매수 제안에 넘긴 NFT를 취득한 입찰자도 영향을 받을 수 있다. 컬렉션 단위 매수 제안은 특정 컬렉션에 속한 NFT를 사겠다는 공개 입찰이어서, 공격자는 탈취한 NFT를 별도의 신규 매수자를 찾지 않고 기존 제안에 매각할 수 있었다.
- 탈리스는 신규 등록과 경매를 중단하고 수정 스마트 컨트랙트를 검토하고 있다.
- 영향받은 NFT 목록과 사고 분석을 공개할 계획이다.
- 기존 소유자에 대한 NFT 반환과 매수자 손실 보상 방안을 마련 중이다.
탈리스의 신규 등록·경매 재개 일정과 구체적인 보상 방식은 제시되지 않았다. 시커 사고 역시 실제 피해 규모가 공개되지 않은 상태다. 두 사건은 dApp 유통 경로와 스마트 컨트랙트라는 서로 다른 지점에서 발생했지만, 이용자가 접하는 서비스와 계약 코드의 검증이 웹3 자산의 접근권과 소유권에 직접 연결된다는 공통점을 보였다.
