레이디움, 해커가 레거시 풀에서 130만 달러를 유출함에 따라 손실 보상 약속

해커가 레이디움(Raydium)의 레거시 AMM V3 프로그램 취약점을 악용하여 2021년부터 폐기된 5개 유동성 풀에서 약 134만 달러를 유출했습니다. 

레이디움 팀은 무단 유동성 제거 사실을 인지하고 있으며 손실을 보상할 것이라고 확인했습니다.

이 공격은 솔라나 기반 탈중앙화 거래소(DEX)가 5년 전에 중단한 코드를 표적으로 삼았습니다. 

에 따르면 인프라(Infra)레이디움 팀 구성원은 현재 플랫폼 인터페이스를 통해 풀에 접근할 수 없었기 때문에 현재 사용자에게는 영향이 없었다고 밝혔습니다. 인프라는 또한

해커는 어떻게 폐기된 풀을 악용할 수 있었습니까?

인프라에 따르면

보안 연구원 파람(Param)이 X(구 트위터)에 해커가 레이디움의 2021년식 코드에서 결함을 발견했다고 밝혔습니다. 해커는 자금을 보유하고 있는 5개의 방치된 유동성 풀을 식별하고 가짜 소유권 영수증을 생성했습니다. 

이러한 가짜 LP 토큰은 레거시 스마트 계약이 해커를 합법적인 유동성 제공자로 인식하도록 속여 풀 자산의 전액 인출을 가능하게 했습니다.

블록체인 보안 기업 F12는 온체인에서 공격을 추적하여 제출 내용을 입증했습니다. 이 악용은 공급량이 단 1개에 불과한 위조 LP 토큰에 의존했습니다. 해커가 해당 토큰을 사용하여 인출을 제출하자 구형 프로그램이 풀 잔액 전체를 해제했습니다.

해커는 훔친 자금을 어디로 옮겼습니까?

펙실드알럿(PeckShieldAlert)은 해커의 지갑은 처음에 쿠코인(KuCoin)을 통해 자금 조달되었으며, 솔라나에서 풀을 유출한 후 deBridge를 통해 이더리움으로 자금을 브리징하여 약 810 ETH를 얻었다고 보고했습니다. 

그 후 해커는 트랜잭션 출처를 숨기는 데 자주 사용되는 믹싱 프로토콜인 토렌토 캐시(Tornado Cash)에 해당 자금의 대부분을 예치했습니다. 펙실드알럿의 분석에 따르면 그들은 7 ETH를 고정플로트(FixedFloat)를 통해 이동했습니다.

레이디움 팀에 따르면 악용자의 주소는 4WnPebowR4HHfumvNPaDjG6Pa5Hi1jxLm6xmmBq33QVk입니다.

레거시 코드, 현재의 위험

인프라에 따르면 레이디움의 현재 프로그램은 여전히 활성화되어 있습니다. 이 프로토콜은 솔라나에서 총 잠긴 가치(TVL)가 7억 9,656만 달러이며, 지난 7일 동안 DEX 거래량이 11억 달러 이상 처리되었습니다. 이는 DefiLlama 데이터. 

악용된 AMM V3 프로그램은 현재 사용 중인 풀과 별개입니다.

그러나 이는 레이디움이 보안 침해로 피해를 입은 것이 처음이 아닙니다. 2022년 12월, 프로토콜은 개인 키 유출로 인해 440만 달러를 손실했습니다.

최신 침해 사건은 2026년 거의 매일 발생하는 암호화폐 악용 사건에 추가되었습니다. 

크립토폴리탄(Cryptopolitan)은 이전에 CertiK가 5월 한 달 동안 60건의 확인된 보안 사고를 기록했다고 보도했으며, 총 손실액은 68.3백만 달러로 올해 가장 많은 월간 사고 건수를 기록했습니다. 코드 취약점으로 인한 손실은 4,500만 달러 이상을 차지했습니다.

레이디움 악용 사건 며칠 전, Gnosis Pay와 TesseraDAO를 타격한 악용 사건들을 보도한 바 있다. 에 대한 공격으로 최소 250만 달러의 프로젝트 비용이 발생했으며, 플로링 프로토콜(Floring Protocol)의 취약점은 공유 코드를 통해 포크인 애스터리스크(Asterisk)로 확산되었습니다.

5월 말 기준, 2026년 암호화폐 악용으로 인한 누적 손실액은 13억 달러에 가까웠습니다. 펙실드는 브리지 관련 공격만으로도 이 금액의 3억 4,070만 달러를 차지한다고 보고했습니다.

레이디움 팀은 핵심 기여자들이 메인넷 프로그램에 대한 보안 검토를 진행 중이라고 밝혔습니다.

리더십은 영향을 받는 유동성 제공자에게 보상할 것이라고 말했지만, 레이디움은 정확히 어떻게, 언제 보상받을지 공개하지 않았습니다.