글쓴이: 마허, Foresight News
해커 공격이 암호화폐 프로토콜의 '제1의 킬러'로 떠오르고 있다.
8월 12일, X 사용자 Juiceberg가 트윗을 올려 온체인 데이터에 따르면 Harmony 프로토콜에서 취약점 공격이 발생했으며, 공격자가 빈 블록을 통해 약 40억 개의 ONE 토큰(약 300만 달러 상당)을 불법 발행하여 전체 공급량의 26%에 해당한다고 밝혔다. 이 중 약 28억 개의 토큰은 가격 폭락 중에 신속하게 거래소로 이체되었고, 동시에 Harmony의 총 공급량 엔드포인트가 이번 토큰 발행 증가분을 반영하지 못해 온체인 실제 공급량과 공개 데이터 간 차이가 발생했다. 공격자 주소에는 약 1.15억 개(발행량의 약 2.9%)가 남아 있으며, 나머지 대부분은 거래소 계좌로 들어갔거나 이미 매도되었거나, 입금 지갑에 보관되어 있다.
소식 발표 후 ONE 가격은 0.00118달러에서 최저 0.00056달러까지 폭락했다가 현재 0.00078달러로 반등했으며, 24시간 낙폭은 약 38%다.
이후 Harmony 공식 측은 X 플랫폼에서 리트윗을 통해 대응하며, 팀 및 관련 거래소들과 협력해 연루된 자금을 차단·동결하는 한편, 소프트웨어 패치 개발을 진행하고 네트워크 롤백 옵션을 평가 중이라고 밝혔다.
이어 공식 측은 4개의 관련 지갑 주소를 추가로 공개하고, 각 거래소에 이 주소들로 추적 가능한 자금을 차단·동결하도록 명확히 요청했다:
- one1uap8dx2z0qsjxqthm5flgcxkeepsz3gsrghnfn
- one17u300a40ll5wphd8kj5hktryhdjq3ml9f4phy4
- one1a5hur07z5vtvzhr35zkw8tfqedemkz8t88xgd7
- one1h56hkxmua0uzfv07fu04cudvtrl35u96pq47vy
오후 2시경, 공식 측은 보안 사고로 인해 bridge.harmony.one 크로스체인 브릿지 서비스를 일시 중단하고, 모든 검증 노드에 최신 패치 버전 v2026.1.1로 즉시 업그레이드할 것을 요구했다. 공식 설명에 따르면 이 패치는 추가적인 불법 발행을 차단하며, 이미 발행된 토큰 처리를 위한 업데이트는 추후 별도로 진행될 예정이다. GitHub에 관련 릴리스 기록이 이미 확인되고 있다.
이는 Harmony가 최근 몇 년간 토큰 공급과 직접 관련된 중대한 보안·기술적 문제를 세 번째로 겪은 사례다. 2022년 6월에는 Horizon 크로스체인 브릿지가 공격을 받아 약 1억 달러의 자산이 손실됐으며, FBI는 이후 이 사건을 북한 연계 해커 조직의 소행으로 지목했다. 2023년 12월에는 스테이킹 시스템에서 버그가 발생해 약 1억 4,630만 개의 ONE이 잘못 발행되었고, 74개 주소가 연루되었으며, 그중 단일 주소가 5,100만 개 이상을 수령했다. 일부 토큰은 이후 거래소로 이체되었으며, 당시 공식 측은 긴급 패치와 후속 조치를 실시했다.
시장 규모 측면에서 이번 사건은 공급량을 크게 희석시키고 가격 변동성을 초래했으나, 절대 손실 규모는 제한적이다. 사건 전 Harmony의 시가총액은 이미 약 1,700만 달러 수준으로 하락한 상태였으며, 사건 후 1,200만 달러 수준으로 추가 하락해 약 500만 달러가 증발했다. 2022년에는 Harmony의 총 TVL이 한때 14억 달러를 돌파했으나, DefiLlama 최신 데이터에 따르면 현재 TVL은 17만 달러 미만이다.
CertiK Alert 모니터링에 따르면, 오후 4시경까지 Harmony 네트워크에서 비정상적으로 발행된 ONE 토큰 수량이 3조 개(약 23억 4천만 달러 상당)를 넘어섰으며, 6개의 비정상 블록이 연루되었다.
공격자는 초기에 총 공급량 인터페이스를 악용해 발행 증가분을 숨겼으며, 여러 블록이 순차적으로 패킹되던 중이었기 때문에 당시 알려진 40억 개 증액은 실제 상황과 크게 달랐다.
X 계정 BlockWatchdog은 이 사건을 분석하며, 공격자가 Harmony의 크로스 샤드 영수증 검증 및 서명 확인의 심각한 논리 오류를 악용해, 한 번에 약 3조 개의 토큰을 위조했다고 밝혔다.
Harmony는 샤드 체인으로, 샤드 간 토큰 이전에는 이를 증명하기 위한 '영수증'이 필요하다. 해커는 이 영수증을 위조했으며, 영수증 내용은 다음과 같았다:
- 아주 오래된 epoch (제100 epoch, 현재는 3000 이상)
- 서명이 전혀 없는(제로 서명)
- 죽은 주소(0x00…dEaD)에서 전송
정상적인 상황이라면 시스템이 즉시 거부해야 한다. 그러나 시스템에는 두 가지 취약점이 있었다. 첫째, 서명 확인 로직 오류. 시스템이 '충분한 서명이 있는지' 확인할 때, '위원회 인원이 총 몇 명인지'만 확인하고 '실제로 몇 명이 서명했는지'는 검사하지 않았다. 결과: 위원회 인원이 4명 이상이면 서명이 전부 비어 있어도 통과되는 것이다. 마치 도어락이 고장 나 마음대로 밀고 들어갈 수 있는 셈이다. 둘째, 재사용 방지 보호에 취약점이 있었다. 시스템은 '이 영수증이 이미 사용되었는지'를 검사할 때, 오래된 epoch에서는 공격자가 직접 기입할 수 있는 필드에 의존했다. 따라서 공격자는 동일한 가짜 영수증을 반복 사용하거나 검사를 우회할 수 있었다.
두 취약점이 겹치면서 공격자는 한 번에 수조 개의 코인을 찍어낼 수 있었던 것이다.
기사 작성 시점까지 공식 측은 최종적으로 네트워크 롤백을 실행할지 여부를 확인하지 않았다. 롤백은 체인 상태를 공격 발생 전의 특정 시점으로 되돌리는 것이므로, 이론상 불법 발행 영향을 일부 제거할 수 있지만, 이미 대량의 토큰이 중앙화 거래소로 유입되어 거래가 완료된 상황에서는 실질적 효과가 크게 제한될 것이다. 거래소가 관련 자금을 효과적으로 동결했는지, 검증 노드에 대한 패치 적용이 얼마나 진행되었는지, 그리고 이미 발행된 토큰의 후속 처리 방안이 단기적으로 시장이 주목하는 핵심 변수가 될 것이다.
초기 고성능과 저수수료를 내세운 레이어 1 퍼블릭 체인이었던 Harmony는 한때 DeFi와 크로스체인 내러티브에서 일정한 위치를 차지했다. 연이은 보안 사고와 장기적인 시가총액 감소로 인해 현재 암호화폐 시장에서의 관심은 크게 줄어들었다.
이번 사건은 소규모 시가총액 퍼블릭 체인이 합의 및 공급 메커니즘 측면에서 지닌 취약성을 다시 한번 드러냈으며, 시장 참여자들이 유사한 프로젝트를 평가할 때 과거 보안 이력과 실제 온체인 활성도를 보다 신중하게 살펴볼 필요가 있음을 상기시킨다.
