아비트럼 기반 퓨처스왑, 의심스러운 해킹으로 $400K 손실

아비트럼 기반 분산형 레버리지 거래 플랫폼인 퓨처스왑은 블록체인 보안 기업 블록섹의 보고에 따르면 의심스러운 익스플로잇으로 약 395,000달러를 잃은 것으로 추정되며, 이는 2026년을 시작하는 아비트럼 기반 DeFi 피해 사례의 불운한 행렬을 이어갔습니다. 

이 사건은 2026년 아비트럼 네트워크의 DeFi 프로토콜에 영향을 미친 최신 침해 사례로, 올해 들어 단 10일 만에 발생했습니다.

이 뉴스는 처음에 블록섹의 위협 감지 플랫폼인 폴콘이 엑스(X)에서 퓨처스왑의 계약을 대상으로 한 의심스러운 거래를 감지했다고 밝히면서 알려졌습니다.

보안 기업은 출판 시점까지 팀에 연락을 시도했지만 응답을 받지 못했다고 밝혔습니다. 참고로, 해당 프로젝트의 X 계정은 2022년 이후 마지막으로 게시되었습니다.

폴콘에 따르면

공격자는 여러 changePosition 작업을 통해 자금을 유출한 것으로 보이며, 결국 대량의 USDC를 인출했습니다.

경고! 우리 시스템은 몇 시간 전에 @futureswapx의 계약을 대상으로 한 의심스러운 거래를 #아비트럼에서 감지했으며, 이로 인해 약 395,000달러의 손실이 발생한 것으로 추정됩니다. 우리는 팀에 연락을 시도했지만 지금까지 응답을 받지 못했습니다.

공격자는 … pic.twitter.com/SD5CUCfA8h을 통해 자금을 유출한 것으로 보입니다.

— 블록섹 폴콘 (@Phalcon_xyz) 1월 10일, 2026

계약이 오픈 소스가 아니므로 정확한 근본 원인은 여전히 추가 조사가 필요합니다.

퓨처스왑은 어떻게 해킹당했나요?

그 며칠 전인 1월 5일, 크립토폴리탄은 보도에서 두 개의 아비트럼 프로젝트가 스마트 계약 접근 공격으로 150만 달러를 잃었다고 전했습니다. 동일한 배포자에 의해 출시된 USD Gambit와 TLP는 공격자가 관리자 권한을 획득하고 스마트 계약을 악성 버전으로 대체한 후 무단 출금 피해를 입었습니다.

블록섹은 온체인 행동을 분석하고

사건은 이전 포지션 업데이트 중 예상치 못한 stableBalance 회계 변경과 관련이 있을 수 있으며, 이는 나중에 담보 제거 시 USDC가 해제될 수 있게 했다고 의심합니다.

블록체인 보안 기업 사이버스 얼럿의 초기 분석에 따르면 단일 배포자가 계정 접근 권한을 잃었을 가능성이 있습니다.

공격자는 새로운 계약을 배포하고 ProxyAdmin 권한을 업데이트하여 통제를 획득했습니다,

보안 연구원들은 최근 공격이 북한 국가 지원 해커들과 연관된 유사한 패턴을 따르고 있다고 지적했으며, 이들은 주로 Tornado Cash를 사용하여 자금을 세탁합니다. 공격자들은 주소 블랙리스트를 피하기 위해 훔친 자금을 거의 즉시 스왑하고 혼합하여 빠르게 이동하는 방법을 배웠습니다.

이러한 침해는 일반적으로 높은 유동성 생태계를 대상으로 하며, 이를 통해 공격자들은 큰 수익을 얻을 확률을 극대화합니다. 디파이람마에 따르면 아비트럼은 플랫폼의 DeFi 프로토콜을 통해 30억 달러 이상을 보유하고 있으며, 2021년 출시 이후 TVL 측면에서 이더리움 L2 중 1위 자리를 놓친 적이 없습니다.

최근 해킹 사건들 사이에서 또 다른 공통된 주제는 일반적으로 유동성이 여전히 남아 있는 오래된 스마트 컨트랙트를 표적으로 삼는다는 점입니다.

2025년 7월, 크립토폴리탄은 보도에서 아비트럼 재단이 아비트럼 감사 프로그램을 통해 1,400만 달러의 전폭을 출시하여 네이티브 프로젝트의 스마트 계약 감사를 보조함으로써 지원했다고 전했습니다.

약탈한 자금은 믹서를 통해 빠르게 우회됩니다.

2025년 4분기에는 Tornado Cash 입금이 급증했으며, 현재 이 믹서는 새로운 해킹과 이전 익스플로잇 모두에서 기록적인 잠금 가치를 보유하고 있습니다. 플랫폼에는 338,000 ETH 이상이 포함되어 있어 이는 2021년 최고치를 상회하는 수치입니다. Railgun과 같은 믹서들도 2025년 말 활동 증가를 경험했습니다.

분석가들의 관찰에 따르면 공격은 주로 비교적 알려지지 않은 프로젝트들을 표적으로 삼았습니다. 예를 들어 USD Gambit은 다가오는 몇 주 내에 단일 거래소가 단계적으로 폐지될 것이라고 지적합니다. 2023년에 출시되었음에도 불구하고 이 프로젝트는 DeFi 및 퍼페추얼 선물 거래의 회복으로부터 혜택을 받지 못해 보안 감독이 덜한 더 쉬운 표적이 되었습니다.