블록체인 보안 기업 퍼즈랜드는 오늘 발표한 새로운 투명성 보고서에서 전직 내부 직원이 2024년 9월 베드록의 UniBTC 프로토콜을 표적으로 200만 달러 규모의 공격을 감행했다고 밝혔습니다. 해당 공격자는 내부 권한, 악성 소프트웨어, 그리고 소셜 엔지니어링 기법을 활용하여 공격을 감행했습니다.
내부자 접근 및 지능형 지속 위협(APT) 기법
퍼즈랜드는 익명의 전직 직원이 엔지니어링 워크스테이션에 백도어를 심어 은밀한 악성코드 패키지를 제작했다고 밝혔습니다. 이 은밀한 접근은 몇 주 동안 탐지되지 않은 채 유지되었으며, 공격자는 이를 통해 민감한 정보를 빼돌릴 수 있었습니다. 여기에는 외부 감사 기관인 데다웁(Dedaub)이 처음 지적한 취약점에 대한 내부 논의 내용도 포함되었습니다.
내부 경보 시스템에서 취약점을 발견했음에도 불구하고, 퍼즈랜드는 이를 오탐(false positive)으로 간주하여 조치를 지연시켰고, 결국 너무 늦었습니다.
UniBTC 익스플로잇 실행
탈취된 데이터를 확보한 내부자는 긴급 대응 회의 후 익스플로잇을 실행했습니다. 이들은 Bedrock의 다중 자산 유동성 재스테이킹 플랫폼인 UniBTC 풀에서 약 200만 달러 상당의 유동성을 유출시켰습니다.
공격은 2024년 9월 말에 발생했지만, Bedrock의 총 잠금 가치(TVL)는 약 2억 4천만 달러에서 2025년 6월까지 5억 3천 5백만 달러로 지속적으로 증가했습니다. 이는 개발자의 회복력과 투자자의 신뢰를 입증하는 사례입니다.
Fuzzland의 복구 및 업계 대응
Fuzzland는 Bedrock의 손실을 전액 보상하기 위해 개입하여 사이버 보안 전문 업체 ZeroShadow와 공동 조사를 시작했습니다. 또한 보안 업체 Seal911과 SlowMist를 통해 업계의 광범위한 안전 장치를 강화했습니다.
중요한 점은 이번 침해가 고립된 내부 환경에서만 이루어졌기 때문에 고객 데이터는 노출되지 않았다는 것입니다. 중국 당국과 FBI에 모두 경고가 접수되어 심각한 국경 간 협력이 필요하다는 신호가 나타났습니다.
맥락: 소셜 엔지니어링 기반 암호화폐 해킹 증가 추세
이 사건은 암호화폐 보안의 광범위한 변화를 보여줍니다. 공격자들은 순수한 스마트 계약 결함을 악용하기보다는 내부자 위협, 소셜 엔지니어링, 공급망 침해에 점점 더 의존하고 있습니다.
실제로 블록체인 보안 회사 CertiK는 2025년 암호화폐 도난 규모가 21억 달러를 넘어섰다고 보고했습니다. 대부분의 손실은 피싱, 지갑 공격, 내부자 기반 사기에서 비롯되었습니다.
결론
Bedrock UniBTC 공격은 냉혹한 현실을 보여줍니다. 강력한 스마트 계약 프로토콜을 갖춘 플랫폼조차도 내부에서 신뢰가 침해되면 취약한 상태로 남아 있습니다. Fuzzland의 신속한 인지, 완전한 보상, 그리고 협력적인 보안 점검은 업계의 선제적 대응을 보여줍니다. 그럼에도 불구하고, 이 사건은 DeFi 프로젝트들이 코드뿐만 아니라 인력과 프로세스도 강화해야 한다는 것을 분명히 일깨워줍니다.
암호화폐 분야가 진화하는 위협에 직면함에 따라 기술적 보호 조치와 인력 위생을 모두 숙지하는 것은 향후 APT 스타일 공격에 대비하는 데 필수적입니다.
