아비치 고객 1685명
“피해 고객 전액 보상 처리”
스테이블코인 카드 인프라 업체 레인(Rain)의 구형 카드 컨트랙트 취약점이 악용돼 약 110만달러(약 15억원)가 탈취됐다. 이 가운데 50만800달러(약 6억9000만원)는 비자 연계 신용카드로 암호화폐를 결제할 수 있게 해주는 자기수탁형 네오뱅크 아비치(Avici)의 이용자 1685명이 입은 피해다. 아비치 토큰(AVICI)은 24시간 고점 0.43달러(약 590원)에서 사상 최저인 0.217달러(약 300원)까지 최대 49% 내린 뒤 0.35달러(약 540원) 선으로 반등했다.
아비치는 고객이 카드에 충전한 돈을 담아두는 솔라나 컨트랙트에서만 보안 사고가 일어났다고 밝혔다. 솔라나와 이더리움 호환 네트워크에서 운영하는 자기수탁 지갑은 피해를 보지 않았으며, 카드에 남아 있던 충전금은 전액 돌려주겠다고 했다. 다른 암호화폐 네오뱅크 트리아(Tria)에서도 이용자 636명이 43만달러(약 5억9000만원) 넘게 잃었다. 트리아 역시 전액 보상을 약속했고, 토큰은 한때 10% 넘게 떨어졌다.
레인은 자체 모니터링으로 아비치를 비롯한 소수 프로그램이 쓰던 구버전 컨트랙트에서 취약점을 찾아냈다고 설명했다. 해당 버전을 돌리던 프로그램은 모두 업그레이드했고 이후 무단 인출은 없다고 덧붙였다. 아비치 약관을 보면 카드 발급사는 서드내셔널(Third National)이며, 비자 프린시펄 멤버인 레인이 스테이블코인 카드 인프라를 댄다. 거래 기록상 헤커는 서명된 승인을 반복 제출해 개별 카드 담보 계정에 스스로를 관리자로 등록한 뒤 예치금을 빼냈다. 탈취한 스테이블코인은 솔라나(SOL)로 바꿔 이더리움 네트워크로 옮긴 다음 믹서 토네이도캐시를 거쳤다.
온체인 분석가들이 추적한 110만달러와 아비치가 밝힌 피해금이 차이가나 레인 기반의 다른 프로그램도 뚫렸다는 뜻이지만, 두 회사 모두 어떤 프로그램이 얼마를 잃었는지 내놓지 않았다. 아비치는 미 연방수사국(FBI) 산하 인터넷범죄신고센터(IC3)에 신고했다면서도 환불 시점과 재원은 공개하지 않았다. 암호화폐 카드 결제는 7월 들어 3배 넘게 늘어 10억4000만달러(약 1조4400억원)를 기록했고, 1000만건이 넘는 거래 가운데 70%를 스테이블코인이 채웠다.
