탈중앙화가 실패할 때: 왜 요즘 퍼블릭 체인은 위기 때마다 '네트워크 플러그 뽑기'를 택하는가?

8월 30일, 크로노스(Cronos) 검증인들이 블록체인 전체를 동결시켰다.

24시간 전, 포고(Fogo)도 같은 조치를 취했고, 일주일 전에는 코스모스 랩스(Cosmos Labs)가 EVM 모듈을 실행하는 모든 체인에 긴급 공지를 보냈다. 업그레이드하든지 가동을 중단하든지 하라는 내용이었다.

세 가지 전혀 다른 공격 경로, 세 가지 다른 온체인 거버넌스 구조였지만 결국 같은 비상 대책으로 귀결됐다. 체인을 멈추는 것.

진짜 위기가 닥치면 탈중앙화 네트워크의 '최후의 방어선'은 전통적인 네트워크 기업의 비상 계획과 크게 다르지 않다. 바로 네트워크 플러그 뽑기다.

7,500만 달러, 20분

크로노스에서 벌어진 일은 교과서적인 데자뷔였다.

공격자는 크로노스에서 가장 크고 거의 유일한 대출 프로토콜인 텍토닉(Tectonic)을 노렸다. TVL은 약 1억 2,170만 달러로 체인 전체 DeFi 예치금의 46%를 차지했다. 공격의 지렛대는 텍토닉의 거버넌스 토큰인 토닉(TONIC)이었다. 유동성이 극도로 얇은 자산이었다.

수법은 아주 고전적이었다. 약 20분 만에 토닉 가격을 100배 가까이 끌어올린 다음, 이렇게 '부풀려진' 토큰을 담보로 잡고 대출 풀에서 진짜 돈인 cbBTC, USDC, WETH 같은 경화를 빼냈다.

온체인 연구원 웨이린 리(Weilin Li)의 추산에 따르면 공격자의 보유량은 약 3,646조 토닉이었고, 20% 담보 인정 비율을 적용하면 조작 후 포지션 가치가 약 3억 7,500만 달러에 달해야 약 7,500만 달러의 대출을 뒷받침할 수 있었다. 이 수치는 100배 가격 상승 폭과 정확히 일치한다.

크로노스 검증인들의 대응은 빨랐다. 체인이 동결됐을 때 공격자는 약 600만 달러만 크로스체인 브릿지를 통해 이더리움으로 옮겼고, 나머지 약 6,000만 달러는 블록 생성이 멈춘 체인에 갇혔다.

크립토닷컴(Crypto.com) CEO 크리스 마잘렉(Kris Marszalek)은 가장 먼저 X에 성명을 올려 크립토닷컴 앱과 거래소는 영향을 받지 않았으며 보안팀이 조사를 지원하고 있다고 밝혔다.

이것은 성공적인 손실 차단이었지만 동시에 난처한 현실을 드러냈다. 크로노스가 이렇게 빠른 속도로 조정된 셧다운을 할 수 있었던 것은 바로 검증인 집단이 충분히 작았기 때문이다.

크로노스는 텐더민트(Tendermint) 합의를 기반으로 하며 검증인 상한은 100개, 실제 활성 수는 더 적다. 이는 긴급 조율을 효율적으로 만들지만 '탈중앙화'라는 단어를 미묘하게 만든다.

2022년 10월, 아브라함 아이젠버그(Avraham Eisenberg)는 거의 똑같은 수법으로 솔라나의 망고 마켓(Mango Markets)에서 1억 달러 이상을 탈취했다.

수법은 동일했다. 유동성이 낮은 MNGO 토큰 가격을 조작한 다음 부풀려진 담보로 실제 자산을 대출하는 방식이었다. 아이젠버그는 나중에 체포되어 상품 사기 혐의로 유죄 판결을 받았다. 법적 선례가 확립된 것이다. 공격자가 기술적으로 프로토콜 자체의 규칙을 따랐더라도 DeFi 토큰 가격을 조작하는 것은 형사 범죄에 해당한다.

3일 전, 베이스(Base) 네트워크의 대출 프로토콜 문웰(Moonwell)이 완전히 동일한 공격 패턴으로 약 870만 달러의 손실을 입었다. 공격자는 유동성이 낮은 토큰 MAMO의 가격을 조작해 cbBTC와 USDC를 대출했다. 이는 문웰이 11개월 만에 당한 세 번째 오라클 관련 보안 사고였다.

망고 마켓의 각본은 2022년부터 2026년까지 이어졌고, 체인 세 개와 토큰 이름 세 개가 바뀌었을 뿐 핵심 논리는 한 글자도 달라지지 않았다.

DeFi 대출 프로토콜이 유동성이 낮은 토큰을 담보로 상장하는 것은 마치 은행이 권위 있는 감정을 거치지 않은 그림을 담보로 받는 것과 같다. 가격이 말해주는 게 아니라 팔 수 있어야 진짜다.

체인은 정상 작동, 15시간 후 가동 중단

포고의 경우는 더 흥미롭다.

8월 29일 밤(미국 동부 시간 오후 9시 13분), 포고 재단은 X에 글을 올려 신원 미상의 공격자가 재단을 '해킹'하여 4억 개의 FOGO 토큰이 범죄자에게 이전됐다고 밝혔다. 재단은 거래소와 법 집행 기관에 통보했으며 동시에 '포고 블록체인 자체는 영향을 받지 않았고 계속 정상 작동 중'이라고 강조했다.

4억 FOGO는 제네시스 총 공급량(100억 개)의 4%이지만 현재 유통 공급량의 10% 이상이다. 사건 당시 FOGO 가격 약 0.0075달러를 기준으로 하면 약 300만 달러 규모다. 금액은 크지 않지만 유통량의 10%가 갑자기 공격자 손에 들어가면 시가총액이 애초에 높지 않은 L1에게는 시스템적 위험을 구성하기에 충분하다.

흥미로운 것은 비트겟(Bitget)의 반응이다. 거래소는 포고가 공식적으로 공개하기 약 한 시간 전에 '지갑 유지보수'를 이유로 FOGO 입출금을 중단했다. 쿠코인(KuCoin)도 뒤따랐다. 거래소의 감각이 프로젝트 측의 공지보다 더 예민했다.

다음에 일어난 일이 핵심이다. 재단이 '체인 정상 작동'이라고 말한 지 약 15시간 후, 포고는 메인넷을 중단했다. 공지에 따르면 영향을 받은 자산의 추가 이전을 막기 위한 조치였으며, 검증인들은 '무단 활동과 관련된 주소를 제한'하기 위해 네트워크를 업그레이드할 예정이었다.

'문제없음'에서 '네트워크 플러그 뽑기'까지 걸린 시간은 하룻밤 자고 일어날 정도였다.

재단은 지금까지 공격 벡터를 공개하지 않았고, 도난당한 토큰이 운영 예비금에서 나온 것인지 재무 보유에서 나온 것인지도 설명하지 않았다. 더 중요한 질문은 이것이다. 포고가 검증인 조율을 통해 체인 전체를 멈추고 특정 주소를 동결할 수 있다면, 그 탈중앙화 정도는 도대체 어떻게 정의해야 하는가?

버그 하나, 체인 여섯 개, 넉 달

코스모스 EVM 이야기는 또 다른 차원의 심각성이다.

이것은 특정 체인의 문제가 아니라 공유 코드베이스의 공급망 수준 취약점이다. 코스모스 EVM은 코스모스 SDK 기반 블록체인이 이더리움 호환 스마트 계약을 실행할 수 있게 해주는 오픈소스 모듈이다. 이 모듈을 채택한 모든 체인은 동일한 코드 결함을 물려받았다.

취약점은 정수 언더플로 오류였다. 락업 계정(베스팅 계정)의 위임 금액이 사용 가능 잔액을 초과하면 시스템이 오류를 반환하는 대신 잔액이 2의 256제곱에 가까운 천문학적 숫자로 '언더플로'되도록 만드는 것이다. 공격자는 관리자 권한이 필요 없고 특수 거래 하나만 만들면 임의의 계정이 갑자기 거의 무한한 잔액을 갖게 할 수 있었다.

타임라인은 불안하다.

4월 25일, 한 연구자가 코스모스 랩스의 버그 바운티 프로그램을 통해 이 결함을 보고했다. 테스트팀의 결론은 운영 네트워크는 영향을 받지 않는다는 것이었다. 수정 사항은 일반 업데이트로 푸시됐고, 보안 중요 표시도 없었고, 취약점 공지도 없었고, 다운스트림 체인 운영자에게 통보도 없었다.

8월 13일, 팀 내부에서 모든 코스모스 EVM 체인이 영향을 받는다는 사실을 확인했다. 8월 19일, 수정 버전이 릴리스됐다. 8월 20일, 수정 릴리스 하루 만에 첫 공격이 만트라(MANTRA)를 강타했다. 이후 5일 동안 공격은 만트라, TAC, 키체인(KiiChain)을 포함한 6개 체인으로 확산됐고 총 손실은 약 572만 달러였다.

코스모스 랩스는 긴급 대응 과정에서 40개 체인에 연락했고, 자체 등록 명단에 아예 없던 11개의 코스모스 EVM 배포를 발견했다. 115개가 넘는 퍼블릭 체인을 보유한 생태계에서 유지보수 주체가 누가 자기 코드를 쓰는지 모른다는 사실 자체가 취약점보다 더 무섭다.

8월 24일, 코스모스 랩스는 X에 공개 성명을 올려 코스모스 EVM 모듈을 실행하는 모든 체인에 검증인에게 가동 중단을 요구했다. 수정은 상태 변경 수준(스테이트 브레이킹)이라 조율된 업그레이드가 필요했고, 즉시 업그레이드할 수 없는 체인은 체인을 직접 중단하도록 권고됐다.

이번이 처음이 아니다. 2026년 1월, 공격자는 동일한 코드베이스의 ICS20 프리컴파일 취약점을 악용해 사가(Saga)의 EVM 네트워크에서 약 700만 달러를 훔쳤다. 같은 코드베이스, 같은 해, 두 번의 공급망 수준 보안 사고였다.

오픈소스 소프트웨어의 공유 모델은 효율성에서 큰 장점이 있지만 보안 측면에서는 하나의 버그가 전염병처럼 생태계 전체로 퍼질 수 있다는 뜻이기도 하다. 전통 소프트웨어 업계에는 CVE 번호, 강제 보안 공지, 다운스트림 패치 윈도우 같은 성숙한 대응 메커니즘이 있다. 코스모스 랩스는 이번 사건에서 이 단계들을 거의 모두 건너뛰었다.

같은 속성, 두 가지 평가

비인크립토(BeInCrypto)는 크로노스 체인 중단을 보도하면서 정확한 표현을 인용했다. 끌 수 있는 체인은 동시에 자금을 회수할 수 있는 체인이다.

크로노스 체인 중단 후 CRO 토큰은 오히려 약 4~5% 상승했다. 시장은 '성공적인 손절'에 가격을 매기고 있었다. 약 6,000만 달러의 도난 자산은 여전히 체인에 갇혀 있으며, 검증인들이 롤백이나 블랙리스트를 선택하면 이 자금은 회수될 가능성이 있다. 하지만 텍토닉 예금자들은 지금까지 어떤 상환 약속도 받지 못했다.

포고 체인 중단 후 FOGO 가격은 이미 18~20% 하락했다. 공격자가 보유한 4억 개의 토큰이 동결될 수 있을지는 '주소 제한'이 기술적으로 무엇을 의미하는지에 달려 있는데, 포고는 지금까지 이를 설명하지 않았다. 게다가 9월 26일에는 약 15억 4,000만 FOGO(총 공급량의 15.44%)의 언락이 예정되어 있어 시간적 우연이 시장 신뢰를 더욱 취약하게 만든다.

코스모스 EVM 사례에서 만트라는 약 30시간의 체인 중단 후 블록 생성을 재개했고 사용자 잔액은 영향을 받지 않았다고 밝혔다. TAC는 8월 22일 블록 24,671,475에서 멈췄고 보도 시점까지도 복구되지 않았다. 키체인은 18회의 공격을 받았고 약 1억 4,800만 KII의 손실을 확인했다.

세 체인은 같은 취약점 앞에서 세 가지 다른 결말로 향했다.

2026년 상반기, 블록에이드(Blockaid)는 온체인 보안 사고로 인한 손실이 212건의 사건, 11억 달러를 넘었다고 보고했다. 서틱(CertiK)의 집계는 더 높다. 344건, 약 13억 1,000만 달러로 2025년 연간 총액을 이미 넘어섰다.

이 숫자들이 보여주는 현실은 하나다. 암호화폐 네트워크의 보안 문제는 나아지고 있는 게 아니라 악화되고 있다.

공격 수법은 계속 재사용되고 진화하지만 방어 메커니즘은 따라가지 못하고 있다. 유동성이 낮은 토큰의 오라클 가격 책정과 공유 코드베이스의 보안 감사는 여전히 두 가지 시스템적 취약점이다.

유일한 보장책은 '체인을 멈추는 것'인데, 이 자체가 하나의 신호다. 현재 세대의 암호화폐 네트워크 보안 아키텍처는 그들이 주장하는 무신뢰 비전을 감당할 준비가 아직 한참 멀었다는 신호. 가동 중단 후 어떻게 할 것인가, 롤백, 블랙리스트, 아니면 원상태로 재시작할 것인가. 모든 선택지는 각자의 결과와 선례 효과를 동반한다. 이것은 기술적 선택이 아니라 거버넌스 결정이며, 거버넌스는 암호화폐 세계가 공개적으로 논의하는 데 가장 서툰 주제였다.

원문 링크