크립토 카드 해킹, 어떤 문제가 있었던 걸까? 👨‍💻 크립토 카드 해킹 사건 - 지난 토요일(29일), Tria, Avici 등 크립토 카드 이용자들의 자금이 무단 출금되는 사건이 발생 - 피해 금액은 Tria 43만달러(636명), Avici 50만 달러 (1,685명) 💳 카드 충전 금액이 털렸다 - 크립토 카드는 스테이블코인 등 암호화폐를 미리 충전해서 사용하는 방식 - 해커는 이용자들이 카드에 충전해둔 스테이블코인을 탈취함 ❓왜 털렸나? - 크립토 카드 이용자가 본인 카드에 스테이블코인을 충전하면 해당 코인은 제3자 스마트 컨트랙트에 보관됨 - 이용자들이 카드에 충전한 솔라나 기반 스테이블코인은 솔라나 컨트랙트(이용자별 '담보 계정')에 보관되고, 결제시 해당 컨트랙트에서 빠져나가는 방식 - 해커는 솔라나 스마트 컨트랙트 구버전에 남아 있던 보안 결함을 노려 스테이블코인을 빼돌림 - Tria, Avici 등 크립토 카드 프로젝트 대부분은 Rain이라는 크립토 카드 전문 결제 인프라를 공통으로 사용하는데, 해커는 Rain이 설계한 솔라나 컨트랙트의 서명·권한 검증 결함을 파고들어 이용자별 담보 계정에 자신을 관리자로 등록한 뒤 잔액을 그대로 출금함. - 결국 Tria, Avici 자체의 문제였다기보단, 결제 인프라 Rain의 코드 결함이 주된 원인이었던 것 💸 빠른 해결 및 보상 진행 - Rain은 사고 당일 해당 구버전을 쓰던 모든 프로그램을 업그레이드해 추가 피해를 차단했고, 이후 추가 무단 출금은 발생하지 않음 - Rain은 피해 이용자에게 손실을 전액 보전한다고 발표. Tria도 전액 상환을 약속했고, Avici는 사고 다음 날 전액 상환을 완료한 뒤 빼앗긴 금액의 10%를 캐시백으로 추가 지급함 - 다행히 더 큰 피해로 이어지진 않았지만 '셀프커스터디' 크립토 카드의 안전성에 대한 신뢰를 무너뜨리는 사건이었음 - 사실상 크립토 카드 충전금은 은행 계좌가 아닌 스마트 컨트랙트에 들어가고 발급사도 은행이 아니어서, 예금자보호 같은 안전장치가 아예 없는 상태 - 카카오페이·네이버페이 같은 국내 선불 충전금은 2024년 9월부터 전자금융거래법에 따라 100% 별도 관리(신탁·예치·지급보증보험)가 의무화되어 있음 📉 결국 Rain이 망하면 다 망하는 구조? - 이번 사건을 통해 크립토 카드 프로젝트의 생존 여부가 Rain이라는 단일 인프라에 크게 묶여 있다는 사실이 드러남 - Rain의 구버전 컨트랙트 한 곳이 뚫리자 Tria와 Avici가 동시에 당했고, 이름이 밝혀지지 않은 다른 프로그램들까지 함께 피해를 봄 - Rain에 문제가 생기면 그 위에 올라간 크립토 카드 프로젝트들이 동시에 멈춰 서는 '단일 실패점' 구조라는 사실이 이번에 확인된 것 - 또한, Tria 같은 크립토 카드 브랜드들은 은행 인가 없이 자금송금업 라이선스만으로 카드를 발급하는 구조여서, 문제가 생겼을 때 규제 당국이 이용자 자금을 되찾아줄 장치도 없음