휴머니티(Humanity)가 해킹으로 3,100만 달러를 도난당했고, 이로 인해 암호화폐 가격이 90% 폭락했습니다. 과연 해킹이었을까요, 아니면 조작된 공격이었을까요?

6월 9일, Humanity Protocol에서 개인 키 유출 공격이 발생해 수백 개 지갑에서 3100만 달러 이상이 도난당했다.
공격자는 일부 H 토큰을 ETH로 교환했으며, 1억 H 토큰을 추가 발행해 BNB로 매도한 것으로 의심된다.
H 토큰 가격은 24시간 만에 90% 이상 폭락해 시가총액이 20억 달러에서 4000만 달러 미만으로 감소했다.
온체인 탐정 ZachXBT는 토큰이 CEX가 아닌 DEX에서 매도된 점을 들어 자작극 가능성을 제기했다.
이 프로젝트는 이전에도 88%가 봇이라는 의혹, 중국산 짝퉁이라는 비판, 손바닥 정보 수집 우려 등 논란이 있었다.
창업자 Terence Kwok은 이전에 Tink Labs를 설립해 1.7억 달러를 조달한 후 파산한 이력이 있다.
이번 사건은 개인 키 관리 부실, 다중 서명 미비를 드러냈으며, 사용자 보상 계획은 제시되지 않았다.

글쓴이: ChandlerZ, Foresight News

온체인 분석업체 스펙터에 따르면, 6월 9일 휴머니티(Humanity) 디지털 신원 프로젝트와 상호 작용한 지갑들이 지속적인 공격을 받았습니다. H 토큰을 보유한 수백 개의 주소가 해킹당했으며, 총 손실액은 3,100만 달러를 넘어섰습니다. 약 900만 달러는 이더리움(ETH)으로 전환되었고, 약 990만 달러는 여전히 H 토큰 형태로 남아 있습니다.

휴머니티(Humanity) 설립자 테렌스 곽(Terence Kwok)은 재단 구성원의 개인 키 유출과 관련된 보안 사고를 확인했습니다. 예방 조치로, 그는 보안이 추가적으로 확보될 때까지 휴머니티 크로스체인 브리지 또는 모든 유동성 풀 이용을 일시적으로 자제해 줄 것을 사용자들에게 권고했습니다. 휴머니티 팀은 보안 전문가 및 거래소 파트너와 협력하여 문제를 해결하고 있으며, 진행 상황을 지속적으로 커뮤니티에 알릴 예정입니다.

H 토큰 가격은 약 0.7 USDT에서 0.052 USDT까지 폭락하며 24시간 만에 90% 이상 하락했습니다. 보도 시점 현재 H 토큰은 0.1368301 USDT에 거래되고 있으며, 시가총액은 20억 달러에서 약 3,570만 달러로 급락했습니다.

6월 9일 오전 11시 현재, 공격자들은 휴머니티 프로토콜 토큰(H) 1억 개를 발행하여 BNB로 판매하고 있는 것으로 추정됩니다.

블록체인 전문가 ZachXBT는 오늘 Humanity 프로젝트가 겪은 공격에 대해 회의적인 입장을 표명하며, 해당 사건이 팀이나 관련 당사자에 의해 조직적으로 자행되었을 가능성을 제기했습니다. 그는 프로젝트의 토큰 공급량이 고도로 집중되어 있다는 점과 공격 후 모든 H 토큰이 중앙거래소(CEX)가 아닌 탈중앙화 거래소(DEX)에서 매도되었다는 점을 지적하며, 시장 조성자(MM)들이 "해킹 공격"을 핑계로 대규모 포지션 청산을 시도했을 가능성을 시사했습니다.

인간 본성을 진정으로 "증명"하지 못한 프로젝트

2024년에 설립된 휴머니티 프로토콜(Humanity Protocol)은 탈중앙화된 디지털 신원 네트워크를 표방합니다. 핵심 강점은 손바닥 지문 생체 인식과 영지식 증명을 사용하여 사용자의 신원을 검증하는 것입니다. 이 프로젝트는 폴리곤 CDK(zkEVM)를 기반으로 구축되었으며, 개인 정보를 노출하지 않고 시빌 공격, 가짜 계정, AI 기반 신원 생성 등의 문제를 해결한다고 주장합니다.

이러한 스토리는 2024년에 상당한 자본 투자를 유치했으며, 휴머니티 프로토콜(Humanity Protocol)은 총 5천만 달러 규모의 두 차례 투자 유치를 완료했습니다. 시드 라운드에서는 3천만 달러를 유치하며 기업 가치를 10억 달러로 평가받았으며, 투자자로는 킹스웨이 캐피털(Kingsway Capital), 애니모카 브랜즈(Animoca Brands), 블록체인닷컴(Blockchain.com), 시마 캐피털(Shima Capital) 등이 참여했습니다. 2025년 1월에는 판테라 캐피털(Pantera Capital)과 점프 크립토(Jump Crypto)가 주도한 2천만 달러 규모의 추가 투자 유치로 기업 가치가 11억 달러까지 상승했습니다.

휴머니티 재단은 애니모카 브랜즈의 회장인 얏 시우를 필두로 국제 블록체인 컨설팅 회사의 설립자인 마리오 나와팔, 모건 스탠리와 오르투스 캐피털의 수석 투자 전문가인 이와이 총 등 여러 저명인사들이 함께 설립했습니다.

2025년 6월 25일, H 토큰이 페어드롭(Fairdrop) 방식을 통해 출시되었는데, 이는 웹3 역사상 최초로 검증된 실제 사용자에게만 토큰을 배포하는 방식으로 홍보되었습니다. 그러나 출시 이틀 후, DL News는 창립자들 간의 대화 내용이 유출되었다고 보도했습니다. 해당 대화에서 곽부성은 네트워크에 생성된 900만 개의 휴먼 ID 중 약 100만 개만이 생체 인증을 완료했으며, 이는 최대 88%의 사용자가 봇일 가능성이 높다는 것을 의미한다고 인정했습니다.

게다가 X 플랫폼 사용자 SCoin(@LianFang_)과 AB Kuai. Dong(@_FOR AB)에 따르면, 휴머니티 프로토콜(H)은 "국내 프로젝트로 위장한 것"일 가능성이 있다고 합니다. 앱의 코드 라이브러리에는 여전히 선전의 출입통제기기 제조업체인 장텅(Zhangteng)의 이미지가 남아 있어 진위 여부에 대한 의문이 제기되고 있습니다. 네티즌들은 소셜 미디어에서의 화제가 대부분 프로젝트 팀의 부계정에 의해 조작된 것이라고 주장하며, 실제 사용자 참여 여부에 대한 의구심을 표하고 있습니다.

AB Kuai.Dong은 이전에 Humanity를 통해 신원 확인을 받은 사람들은 주의해야 한다고 밝혔습니다. Zhangteng Information은 종합적인 신원 확인 아웃소싱 서비스를 제공하는 상하이 소재 아웃소싱 회사의 지원을 받고 있습니다. 또한, 내부 고발자인 SCoin은 해당 프로젝트가 사용자들의 손바닥 지문 정보를 대량으로 수집하고 있다고 주장하며 개인정보 보호 및 보안 문제를 제기했습니다.

이는 "인간성을 증명하는 것"을 핵심 가치로 삼았던 프로젝트에 치명적이었습니다. H 토큰은 출시 이틀 만에 61% 이상 폭락하여 약 0.05달러에서 최저 0.018달러까지 떨어졌습니다.

창업자가 이전에 설립했던 유니콘 기업은 1억 7천만 달러를 탕진했습니다.

테렌스 곽의 개인적인 배경 또한 이 프로젝트에 위험 요소를 더합니다. 곽은 2012년, 20세의 나이에 시카고 대학교를 중퇴했습니다. 여행 중 900달러에 달하는 로밍 요금 고지서를 받은 후, 그는 호텔 객실에 무료 스마트폰(핸디라는 브랜드로 출시)을 제공하여 투숙객들이 해외에서 비싼 로밍 요금을 내지 않고도 사용할 수 있도록 하는 팅크랩(Tink Labs)을 설립했습니다. 이 아이디어는 초기에 투자 시장의 주목을 받았고, 팅크랩은 폭스콘, 소프트뱅크, 이노베이션웍스, 그리고 메이투 창업자로부터 1억 7천만 달러를 투자받아 15억 달러의 기업 가치를 달성하며 홍콩 최초의 유니콘 기업이 되었습니다. 전성기에는 핸디 기기가 전 세계 82개국 60만 개 호텔 객실에 보급되었습니다.

곽 회장의 공격적인 확장 전략은 곧 현실적인 난관에 부딪혔습니다. 전 세계 로밍 요금은 계속 하락했고, 호텔들은 핸디 기기 구매를 꺼렸으며, 회사는 2017년부터 적자를 내기 시작했습니다. 파이낸셜 타임스에 따르면, 소프트뱅크는 팅크랩스가 일본 합작 투자 사업의 자금을 다른 적자 시장으로 빼돌리고 있다는 사실을 발견하고 주요 프로젝트에 대한 자금 지원을 중단했습니다. 2019년 7월, 유럽, 중동, 아프리카 지사의 직원 100명 이상이 급여를 받지 못했습니다. 해고된 직원들은 옥스퍼드 사무실을 떠나면서 벽과 바닥에 케이크를 발랐습니다. 8월 1일, 팅크랩스는 공식적으로 문을 닫았고, 2020년 1월에는 파산 청산 절차에 들어갔습니다. 한 전직 인사 담당 임원은 파이낸셜 타임스와의 인터뷰에서 곽 회장은 오직 "돈 버는 것"에만 관심이 있었고, 1억 7천만 달러의 투자금이 허무하게 사라졌다고 말했습니다.

6년 후, 곽은 휴머니티 프로토콜(Humanity Protocol)로 시장에 복귀하여 판테라 캐피털(Pantera Capital)과 점프 크립토(Jump Crypto)로부터 다시 한번 유니콘 기업으로 평가받았습니다.

개인 키 관리: 오래된 문제에 새로운 비용이 추가되다

현재까지 파악된 정보에 따르면, 이번 공격은 스마트 계약 취약점이나 프로토콜 수준의 보안 결함을 이용한 것이 아닙니다. 공격자는 재단 구성원의 개인 키를 획득했는데, 이는 가장 전통적인 보안 관리 방식의 실패를 보여줍니다.

2026년 암호화폐 업계의 보안 상황은 이미 심각했습니다. CCN 통계에 따르면 2026년 첫 4개월 동안 DeFi 해킹으로 인한 손실액이 10억 달러를 넘어섰고, 도난당한 자금의 대부분은 아직 회수되지 않았습니다. 4월 1일에 발생한 드리프트 프로토콜(Drift Protocol)에 대한 2억 8,600만 달러 규모의 공격은 올해 단일 사건으로는 최대 규모였습니다. 공격자들은 스마트 계약의 취약점뿐 아니라 검증자, RPC 노드, 거버넌스 시스템까지 점점 더 표적으로 삼고 있습니다. 하지만 개인 키 유출은 모든 온체인 보안 메커니즘을 우회하고 자산을 직접 장악할 수 있기 때문에 여전히 가장 파괴적인 공격 유형 중 하나입니다.

봇 사용자가 88%에 달한다는 논란과 최고점 대비 90% 이상 폭락한 토큰 가격에 직면했던 이 프로젝트에 3,100만 달러 규모의 개인 키 유출 사고가 발생하면서 신뢰가 완전히 무너질 위기에 처했습니다. 보도 시점 현재, 곽 대표는 보안 전문가 및 거래소 파트너와 협력하여 문제를 해결하고 있다고 밝혔지만, 사용자 보상 계획에 대해서는 언급하지 않았으며, 재단 구성원들의 개인 키가 다중 서명이나 하드웨어 격리와 같은 기본적인 보안 조치로 보호되지 않은 이유에 대해서도 설명하지 않았습니다.