북한, 드프트 프로토콜에서 2억 8,600만 달러를 훔치기 위해 가짜 토큰을 제작했으며 AI는 이러한 공격을 더 저렴하게 만들고 있습니다

올해 최대의 DeFi 해킹 사건은 지난 4월 1일 솔라나 네트워크 상에서 최대 perp DEX 중 하나인 드프트 프로토콜(Drift Protocol)에서 발생했으며, 약 2억 8,600만 달러가 프로토콜에서 순식간에 사라졌습니다. 이 공격은 북한과 연관된 해커들과 연결되어 있으며, 전체 해킹은 단 10초 만에 진행되었습니다. 그러나 이 해킹의 놀라운 점은 그 치밀함에 있습니다. 코드가 깨지지도 않았고, 스마트 컨트랙트에 버그도 없었습니다. 일립틱(Elliptic)과 TRM Labs 같은 암호화폐 포렌식 기업들의 조사는 훨씬 더 계산된 해킹임을 보여줍니다. 

북한 해커들은 3주 동안 '카본보트(CarbonVote)'라는 가짜 토큰을 제작했으며, 이를 현실적으로 보이게 하기 위해 수천 달러를 주입했습니다. 동시에 드프트의 5개 다중 서명 다중서명기(Multisig) 보안 이사회 서명자 2명을 사회공학적 기법으로 속여, 그들이 완전히 이해하지 못한 숨겨진 권한을 미리 서명하도록 만들었습니다. 이후 그들은 솔라나의 '내구성 있는 논스(durable nonces)' 기능을 사용하여 해당 서명들을 1주 이상 대기 상태로 보관하다가 적절한 순간을 기다렸습니다. 4월 1일 단 하나의 트랜잭션으로 모든 것이 실행되었습니다. 

엘립틱이 지적했듯이, 이 공격은 올해 북한과 연결된 18번째 암호화폐 해킹으로, 공간에서 약 3억 달러를 빼냈습니다. 해킹 4일 후, Ledger의 CTO는 해킹의 놀라운 성격과 AI가 이러한 공격의 비용을 '제로'로 낮추고 있다는 점을 강조하며 공개적으로 발언했습니다. 이 발언은 매우 중요한데, 드리프트 해킹은 이러한 운영이 현재 어떻게 작동하는지에 대한 사례 연구이기 때문입니다. 공격자들은 제로데이 취약점이나 최상급 암호학자가 필요하지 않았습니다. 그들이 필요했던 것은 인내심, 설득력 있는 가짜 토큰, 그리고 조작할 수 있는 두 명의 인간뿐이었습니다. 이 해킹은 오늘날 DeFi의 구조적 취약점을 드러냈습니다. DeFi는 속일 수 있는 소수의 사람들에 의해 보호되는 수십억 달러 규모의 인프라를 구축하고 있는 반면, 적대세력은 정확히 그 일을 더 잘하고 있습니다.

북한은 286초 만에 10만 달러를 훔쳤습니다 

드리프트 프로토콜 해킹은 3주에 걸친 정교한 준비를 거친 악용이었습니다. 블룸버그는 4월 1일 드리프트 프로토콜이 약 2억 8600만 달러의 사용자 자산이 유출되었음을 확인했다고 처음 보도했습니다. 전체 계획은 실제로 3월 11일 공격자가 평양 시간 오전 9경 토렌디 캐시에서 10 ETH를 인출하여 가짜 토큰인 CarbonVote(CVT)를 배포하면서 시작되었습니다. CVT는 수천 달러의 유동성으로 시딩된 완전히 허구의 자산이며, 와시 트레이딩을 통해 생존했습니다.

다음 2주 동안(3월 23일부터 3월 30일까지) 공격자는 솔라나 네트워크의 합법적인 기능인 내구 논스 계정을 열었습니다. 이 기능은 거래가 만료되지 않고 무기한으로 미리 서명되어 보유될 수 있게 합니다. 이 기간 동안 공격자는 드리프트의 5명 보안 이사회 다중 서명자 중 2명을 사회 공학적으로 조작하여 정상적으로 보이지만, TRM Labs가 나중에 확인했듯이 중요한 관리자 권한에 대한 숨겨진 승인을 포함하는 거래를 승인하도록 했습니다.

마지막 조각은 3월 27일에 떨어졌는데, BlockSec가 보고한 바와 같이 드리프트가 보안 이사회를 제로 타임락이 있는 새로운 2/5 임계값 구성으로 마이그레이션했습니다. 이는 기본적으로 다가오는 것을 누구도 잡을 수 있게 해주는 유일한 지연을 제거했습니다. 4월 1일이 되었을 때, 함정은 며칠 동안 완전히 장전되어 있었습니다.

4월 1일 공격자는 미리 서명된 승인을 사용하여 카본보트를 유효한 담보로 상장하고, 조작된 오라클 가격을 통해 그 가치를 수억 달러로 부풀린 후 거버넌스를 장악했습니다. 그 후 31건의 출금 트랜잭션이 단 몇 초 만에 드프트의 금고를 비웠습니다. 가장 큰 출금 건만 해도 1억 5,500만 달러 이상의 JLP 토큰과 수천만 달러 상당의 USDC, SOL, ETH 및 기타 유동성 스테이킹 토큰이 유출되었으며, 프로토콜의 총 잠금 가치(TVL)는 약 5억 5,000만 달러에서 순식간에 2억 5,000만 달러 미만으로 추락했습니다. 

이 해킹의 속도는 이 이야기의 일부에 불과합니다. 10초 만에 끝난 해킹으로 이어진 3주간의 치밀한 계획은 거버넌스가 코드가 아닌 DeFi의 가장 약한 고리가 될 수 있음을 얼마나 쉽게 보여줍니다. 

북한의 300만 달러 암호화폐 전쟁, 2026초 

이 해킹은 북한과 연결된 공격자에 의해 자행된 것으로 보고되며, 결코 고립된 사건이 아닙니다. 사실, 지난 몇 년간 가장 주목받는 해킹 중 일부에 대해 조사하면 이것이 훨씬 더 큰 국가 주도 캠페인의 일부임을 알 수 있습니다. 올해만 해도 엘립틱은 드리프트 악용이 북한 기인 암호화폐 절도 18번째 사례가 되어 올해 현재까지 유출된 자금 총액이 3억 달러를 넘었다고 보고했습니다. 올해를 넘어보면, 단일 국가로부터의 이러한 해킹 규모는 무시하기 매우 어렵습니다. 작년에는 북한과 연결된 행위자들이 TRM Labs에 따르면 19억 2000만 달러에서 체인alysis에 따르면 암호화폐 기준 20억 2000만 달러를 훔쳤습니다. 이는 이 그룹이 수행한 해킹이 전년 대비 51% 증가했으며, 그들의 역대 절도액이 67억 5000만 달러에 도달했음을 나타냅니다.

북한은 2025년 모든 서비스 침해 사례의 기록적인 76%를 차지했으며, 이는 한 국가가 업계에서 발생하는 절도 사건의 압도적 다수를 책임지고 있음을 의미합니다. 이러한 배경 속에서, 2022년 웜홀(Wormhole) 유출 사건 이후 솔라나 생태계 내에서 두 번째로 큰 해킹인 드프트 해킹은 공격 패턴의 일부로 해석됩니다. 

그런 패턴을 정의하는 것은 일관성입니다. 2025년 2월 발생한 비바이츠(Bybit) 해킹은 역사상 최대의 암호화폐 절도 사건으로, 사회공학적 기법, 침해된 접근 권한, 그리고 조정된 자금 교환을 포함하여 거의 동일한 구조를 보였습니다. TRM Labs은 북한 해커들이 수 시간 내에 여러 체인 간에 자금을 브리징할 때 '중국 세탁소' 네트워크에 점점 더 의존하고 있다고 지적합니다.

드프트 공격은 정찰, 인간 조작, 그리고 이미 구축된 글로벌 세탁 인프라를 갖춘 국가 지원 팀이 수 주에 걸친 작전을 수행하는 시스템을 보여줍니다. 

AI가 공격 비용을 '0'으로 낮추고 있다: 레저 CTO의 경고

드프트(Drift) 유출 사건 사흘 후, 레저(Ledger)의 CTO 찰스 길레메는 코인데스크에 이 사건 전체를 재해석하게 만드는 발언을 했습니다. "취약점을 찾고 이를 악용하는 것이 정말, 정말 쉬워지고 있습니다,"라고 그는 말했습니다. "비용은 0에 수렴하고 있습니다." 길레메는 드프트를 직접 지칭하지 않았지만, 그 정확한 메커니즘을 설명했습니다. AI는 공격자가 코드 버그를 더 빠르게 찾는 것뿐만 아니라 사회공학적 공격을 더 설득력 있게 만들고, 피싱을 더 개인화하며, 북한 해커들이 드프트 사건에 3주 동안 투입했던 준비 작업을 차원 낮게 더 저렴하고 확장 가능하게 만듭니다. 그는 방어 측면에서 증폭되는 문제점도 지적했습니다. 더 많은 개발자가 AI 생성 코드를 의존함에 따라, 취약점이 인간 검토자들이 발견할 수 있는 속도보다 빠르게 확산될 수 있다는 것입니다. "보안을 보장하는 '원클릭 버튼'은 없습니다,"라고 그는 말했습니다. "우리는 설계 단계부터 보안이 결여된 코드를 대량으로 생산하게 될 것입니다." 지난 1년간 해킹과 악용으로 인한 암호화폐 손실액은 14억 달러에 달했으며, 길레메의 전망에 따르면 이 증가 곡선은 완만해지지 않고 더 가파르게 될 것입니다.

드프트 해킹은 이러한 경고에 대한 가장 명확한 개념 증명입니다. 공격자들은 코드에 손대지 않았고, 키를 보유한 두 명의 인간을 표적으로 삼았습니다. AI는 스마트 컨트랙트를 깨뜨릴 필요가 없습니다. 다중 서명 서명자가 자신이 완전히 이해하지 못하는 트랜잭션을 승인하도록 속일 만큼 설득력 있는 구실을 생성할 수 있다면 됩니다. 길레메는 업계가 분열될 것으로 예상합니다. 지갑과 핵심 프로토콜과 같은 중요한 시스템은 보안에 막대한 투자를 하고 적응하겠지만, 더 넓은 소프트웨어 생태계의 상당 부분은 이를 따라잡는 데 어려움을 겪을 것입니다. 그의 권장 해결책인 수학적 증명을 사용한 형식적 검증, 개인 키를 위한 하드웨어 격리는 구조적으로 타당하지만, 드프트를 포함한 대부분의 DeFi 프로토콜이 아직 구축하지 못한 수준의 기관적 규율이 필요합니다. "인터넷에 노출되지 전용 장치를 사용하면 설계 단계부터 더 안전합니다,"라고 그는 말했습니다. 드프트 보안 이사회에는 그러한 완충 장치가 없었습니다. 두 개의 서명과 제로 타임락, 그리고 가짜 토큰만으로 충분했습니다.

향후 전망: 드프트의 복구와 업계의 대응

드프트 프로토콜의 향후 행보는 아직 명확하지 않으며, 초기 신호들은 이미 업계의 분열을 보여주고 있습니다. 즉각적인 여파에서 아나톨리 야코벤코(Anatoly Yakovenko)는 잠재적인 복구 경로를 제안했습니다. 2016년 7,200만 달러 해킹 이후 비트핀텍(Bitfinex)이 취했던 전략을 모방하여, 영향을 받은 사용자에게 IOU 스타일의 토큰 에어드랍을 발행하는 것입니다. 

아이디어는 간단합니다. 현재 손실을 분산시키고, 프로토콜이 회복되면 시간이 지남에 따라 사용자를 변제합니다. 그러나 상황은 매우 다릅니다. 드프트의 TVL은 거의 절반으로 줄었고, 입금과 출금은 여전히 중단되어 있으며, 비트핀텍과 달리 이러한 부채를 뒷받침할 중앙집권적 수익원이 없습니다. 이로 인해 즉각적인 반발이 일어났습니다. 이 경우 IOU 토큰은 명확한 상환 경로 없이 순수한 투기적 도구로 전락할 위험이 있습니다.

동시에 온체인 활동은 새로운 우려를 제기하고 있습니다. 온체인 렌즈(Onchain Lens)는 드프트 팀과 연결된 지갑이 해킹 직후 바이비츠(Bybit)와 게이트(Gate)를 포함한 중앙집권적 거래소로 5,625만 DRIFT 토큰(약 244만 달러)을 이동시켰다고 지적했습니다. 이는 일반적으로 매도 압력을 선행하는 움직임이며, 유동성 위기 동안 내부자의 포지셔닝에 대한 추측을 부채질했습니다. 

한편, 공격자의 자금은 이미 여러 체인으로 브리징되었으며, 특히 이더리움으로 이동하여 시간이 지날수록 의미 있는 회수 가능성이 낮아지고 있습니다. 더 넓은 함의는 이 사건이 드프트에서 그치지 않을 것이라는 점입니다. 이는 다중 서명 보안 기준과 타임락 요구사항부터 오라클 설계 및 실행 제어에 이르기까지 DeFi 거버넌스 자체에 대한 업계 전반의 감시를 가속화할 가능성이 높습니다. 향후 전개는 세 가지 변수에 달려 있습니다. 드프트가 신뢰할 수 있는 복구 계획을 제시할 수 있는지, 자금의 일부가 추적되거나 동결될 수 있는지, 그리고 이것이 마침내 구조적 개혁을 강제할지 아니면 업계가 지나쳐갈 또 다른 비싼 교훈으로 남을지 여부입니다.