美 당국, 우라늄 파이낸스 해킹 연루 가상자산 3,100만 달러 압수

미국 당국이 2021년 우라늄 파이낸스(Uranium Finance) 해킹 사건과 연관된 가상자산 3,100만 달러(약 447억 원)를 압수했다.

미 뉴욕 남부지검과 국토안보수사국(HSI) 샌디에이고 지부의 합동 수사 결과라고 24일(현지시간) 검찰이 발표했다. 수사당국은 해커들의 신원에 대한 구체적인 정보를 공개하지 않았지만, 피해자들에게 연락을 요청한 상태다.

우라늄 파이낸스는 BNB체인 기반 탈중앙화 금융(DeFi) 프로젝트로, 이더리움의 자동 시장조성자(AMM) 프로토콜인 유니스왑(Uniswap)의 포크 버전이다. 2021년 4월 1일 첫 서비스를 시작했지만, 같은 달 28일 발생한 대규모 해킹 이후 웹사이트를 폐쇄했고, 공식 X(구 트위터) 계정도 4월 30일 마지막 게시물을 남긴 채 활동이 중단됐다.

프로젝트 커뮤니티 내에서는 당시 내부자가 해킹에 관여했을 가능성이 거론되기도 했다. 이 해킹은 우라늄 파이낸스의 스마트 컨트랙트 v2 버전에서 발견된 취약점을 이용한 사건으로, 공격자는 코드 상의 오류를 악용해 시스템 잔액을 비정상적으로 부풀린 후 약 5,000만 달러(약 721억 원)의 자산을 유출했다. 피해 금액에는 당시 기준 3,680만 달러 상당의 BNB와 바이낸스USD(BUSD) 외에도 80 비트코인(BTC), 1,800 이더리움(ETH), 2만6,500 폴카닷(DOT), 570만 테더(USDT), 63만8,000 카드노(ADA), 우라늄 네이티브 토큰 'U92' 11만2,000개 등이 포함됐다.

해커는 유출한 디지털 자산 중 폴카닷과 카드노를 이더리움으로 변환한 뒤, 이를 가상자산 믹싱 서비스인 토네이도캐시(Tornado Cash)를 통해 세탁했다. 이후 일부 자금은 중앙화 거래소로 이동한 것으로 확인됐다.

이번 사건은 우라늄 파이낸스의 첫 번째 보안 사고가 아니었다. 앞서 같은 달 8일에도 v1 버전의 스마트 컨트랙트 취약점이 악용되면서 130만 달러(약 19억 원) 규모의 해킹이 발생했다. 이에 우라늄은 보안을 강화한 v2 버전을 도입했지만, 불과 12일 만에 또다시 대형 해킹을 당하며 결국 프로젝트가 중단됐다.

이번 압수 조치는 가상자산 범죄에 대한 미국 법집행기관의 강경 대응 기조를 다시 한번 확인시켜 준다. 업계에서도 미 당국이 가상자산 관련 사이버 범죄에 대한 단속을 더욱 강화할 것으로 예상하고 있다.