어크로스, 솔라나 릴레이어 사고 원인 공개…”사용자 자금 피해 없어”

어크로스(ACX)는 7월 24일(현지시간) 솔라나 릴레이어 사고 사후 분석을 공개하고, 7월 17일 발생한 사고가 스마트 컨트랙트가 아닌 오프체인 검증 소프트웨어 버그를 노린 공격이었다고 밝혔다.

어크로스에 따르면 공격자는 실제 존재하지 않는 솔라나 입금 이벤트를 위조해 릴레이어가 정상 입금으로 인식하도록 만들었다. 릴레이어는 목적지 체인에서 자체 자금을 먼저 지급했지만, 사용자 예치 자산과 프로토콜 온체인 자산은 공격 대상이 아니었다.

릴레이어는 사용자가 출발 체인에 자산을 예치하면 운영 자금으로 목적지 체인에서 먼저 송금하고, 이후 정산 절차를 통해 비용을 돌려받는 중계자다. 이 구조는 크로스체인 전송 속도를 높이는 대신 잘못된 거래를 먼저 처리할 경우 릴레이어 운영사가 손실을 부담하게 만든다.

공격은 7월 17일 약 1시간 동안 이어졌다. 공격자는 위조 입금 이벤트 1,627개로 총 4,170만달러 규모의 거래를 시도했고, 릴레이어는 이 가운데 581건, 약 450만달러를 자체 자금으로 처리했다. 나머지 약 3,700만달러 규모 위조 거래는 만료돼 실행되지 않았다.

어크로스는 사용자 자금 손실이 한 건도 없었다고 밝혔다. 사고 당시 진행 중이던 정상 송금은 당일 완료되거나 전액 환불됐으며, 약 50만달러 규모의 공격자 자금은 현재 프로토콜 안에 묶여 있다. 이를 반영한 순손실은 400만달러 미만이며 회수 절차가 진행 중이다.

조사 결과 사고 원인은 솔라나 이벤트를 검증하는 오프체인 코드가 앵커(Anchor) 이벤트 식별자(discriminator)를 확인하지 않은 데 있었다. 어크로스는 스마트 컨트랙트와 솔라나 프로그램이 정상 작동했으며, 이번 사고에서 온체인 취약점은 발견되지 않았다고 설명했다.

어크로스는 사고 발생 약 5시간 만에 근본 원인을 수정했고, 약 12시간 뒤 CCTP(Cross-Chain Transfer Protocol) 기반 대체 경로로 솔라나 서비스를 재개했다. CCTP는 스테이블코인 USDC 발행사 서클(Circle)이 제공하는 공식 크로스체인 전송 방식이다.

현재 솔라나 거래는 CCTP 경로만 지원한다. 인텐트(Intents) 기반 라우팅은 일시적으로 비활성화됐다. 인텐트 방식은 사용자가 원하는 결과만 지정하면 릴레이어가 효율적인 경로를 선택해 거래를 실행하는 어크로스의 핵심 기술로, 보안 점검이 끝날 때까지 솔라나 구간에서 제한적으로 운영한다.

어크로스는 재발 방지를 위해 솔라나 오프체인 이벤트 파싱 로직에 대한 추가 보안 감사를 실시하고, 이상 거래를 실시간으로 탐지하는 자동 모니터링 기능을 강화할 계획이다. 공격자 주소는 SEAL 911, 법 집행기관, 주요 거래소, 자금세탁방지(AML) 네트워크와 협력해 추적하고 있다.

어크로스는 이번 사고가 ACX 토큰 바이백(Buyback) 프로그램에 영향을 주지 않는다고 밝혔다. 바이백은 프로토콜 수익 등을 활용해 시장에서 ACX 토큰을 매입하는 정책이며, 회사는 기존 계획대로 프로그램을 이어갈 방침이다.

이번 사고는 크로스체인 프로토콜에서 스마트 컨트랙트뿐 아니라 오프체인 인프라 검증도 핵심 보안 영역임을 보여준다. 사용자 자산과 릴레이어 운영 자금을 분리한 어크로스 구조는 실제 공격 상황에서 사용자 피해를 막는 데 기여한 것으로 평가된다.

출처: ittimes_crypto (https://www.ittimes.com/news/articleView.html?idxno=86051)