코스모스 허브, 공격자 지갑서 122만개 이동

코스모스 허브가 약 25시간 블록 생성을 멈춘 뒤 재가동했고, 첫 블록에서 공격자 지갑에 있던 코스모스(ATOM) 122만7121개가 새 주소로 이동했다. 당시 가치는 약 210만달러(약 28억원)다.

코스모스 허브는 재가동 뒤 블록 생성을 정상화했다고 언체인드는 전했다. 해당 이동은 지갑 소유자가 서명한 거래 없이 블록 이벤트에 기록됐으며, 수령 주소의 통제 주체는 공개되지 않았다.

재가동 직후에는 THORChain 금고가 공격자가 앞서 제출한 20만개 규모의 교환 주문 중 처리되지 않은 코스모스 16만8991개를 반환했다. 반환 물량의 가치는 약 29만4000달러(약 4억원)다.

공격자는 이후 코스모스 허브에서 오스모시스로 코스모스 50만개를 보내려 했지만 잔액 부족으로 실패했다. 반환된 물량은 한국시간 24일 오전 0시15분 기준 공격자 지갑에 남아 있었다.

이번 사태는 뉴트론(NTRN) 거버넌스 공격에서 시작됐다. 거버넌스는 토큰 보유자의 투표로 프로토콜의 주요 의사결정을 내리는 구조다.

뉴트론의 제안 ‘AIATO: AI Agent Takeover’는 3일간 진행되는 신속 투표 절차를 거쳤다. 투표는 한국시간 22일 오전 11시24분 종료됐고, 찬성표 약 82%로 통과됐다.

제안에는 뉴트론 계약의 관리자 권한을 제안자 주소로 넘기는 11개 메시지가 포함됐다. 이 가운데 10개는 탈중앙화 거래소 아스트로포트(Astroport)와 유동성 스테이킹 프로토콜 드롭(Drop)의 계약이었다.

투표 찬성표 대부분을 보유한 계정은 투표 종료 12분도 남기지 않은 시점에 2만199USDC(약 2735만원)로 뉴트론 3160만개를 매입한 뒤 스테이킹했다. 이후 공격자는 10개 계약의 코드를 바꾸고 30분이 지나기 전에 자산을 인출했다.

온체인 분석을 공개한 Rarma는 공격자가 이동시킨 자산 규모를 약 940만달러(약 127억원)로 평가했다. 이 가운데 약 196만달러(약 27억원)는 당시에도 운영 중인 체인에 남아 있었다.

뉴트론은 공격 이후 블록 생성을 중단했다. 스페이드(Spaydh) 전 뉴트론 기여자는 체인이 “추가 피해를 막기 위해 중단됐다”고 밝혔다.

아스트로포트는 이용자들에게 별도 공지가 나올 때까지 모든 체인에서 유동성을 인출하라고 안내했다. 공격 과정에서 개별 애플리케이션의 계약 관리 권한이 체인 거버넌스 제안으로 바뀐 만큼, 피해 확산을 막기 위한 조치였다.

코스모스 허브 계정은 허브 자체가 공격받은 것은 아니라고 밝혔다. 뉴트론에서 이동된 자산을 제외하면 코스모스 허브 자금에는 영향이 없다는 설명이다.

이번 사건은 애플리케이션 계약의 다중서명 보호 장치가 체인 거버넌스 권한보다 우선하지 못할 수 있다는 점을 보여줬다. 뉴트론 제안이 통과되면서 체인 수준의 권한이 아스트로포트와 드롭 계약의 관리자를 바꿀 수 있었다.

코스모스 생태계는 여러 체인과 애플리케이션이 연결된 구조여서 한 체인의 거버넌스 공격이 다른 체인의 자산 이동과 네트워크 중단으로 이어질 수 있다. 이번 공격은 코스모스 허브 자체의 자금 탈취로 이어지지는 않았지만, 검증자들이 추가 이동을 제한하기 위해 허브를 일시 중단하는 결과를 낳았다.

코스모스 허브는 블록 생성을 재개했지만 공격자 주소에 남은 자산과 뉴트론에서 이동이 제한된 자산의 후속 처리는 별도 절차로 진행된다.