자노, 한 달치 거래 되돌려…정상 거래·보상도 새 체인서 제외

자노(ZANO)가 무단 발행 자산을 제거하기 위해 약 한 달치 블록체인 기록을 되돌렸다. 프라이버시 구조에서 문제 자산만 골라내기 어려워 정상 거래와 스테이킹 보상, 채굴 블록도 새 체인에 반영되지 않았다.

자노 팀은 사후 분석에서 Gateway Address의 검증 누락으로 공격자가 약 1840만 ZANO를 무단 발행했다고 밝혔다. 비트코인닷컴 뉴스(Bitcoin.com News)는 첫 공격 이후 달러 연동 스테이블코인 fUSD도 무단 발행됐다고 보도했다. 해당 발행량은 팀 설명에 근거한 수치다.

Gateway Address는 거래소나 브리지 같은 서비스가 자노 자산 잔액을 계정처럼 확인하도록 설계된 주소 유형이다. 자노는 하드포크6에서 게이트웨이 주소를 메인넷에 도입했다. 이번 취약점은 해당 주소의 검증 과정에서 발생했다는 것이 팀의 설명이다.

자노의 일반 거래는 금액과 자산 종류를 감추며, 링 서명은 실제 지출과 다른 출력을 섞는다. 팀은 이 구조 때문에 공격 자산이 이동한 경로를 정확히 구분하기 어려웠다고 밝혔다. 잠재적으로 연관된 출력 11만7941개와 거래 6만5301건을 추적했다는 수치도 팀이 공개한 분석 결과다.

자노는 9월 27일 긴급 소프트웨어 2.2.3.600을 공개했다. 공식 릴리스 노트는 블록 높이 383만3000부터 새 체인이 시작됐으며, 이 블록 이후 기존 체인에서 이뤄진 거래는 새 릴리스가 따르는 체인에 포함되지 않는다고 밝혔다. 기준 블록은 하드포크6 활성화 지점이다.

체인 재시작으로 무단 발행분을 제거하는 대신 기록의 연속성이 끊겼다. 팀은 영향을 받은 잔액을 개발 기금과 팀원 개인 자금, 외부 기여자의 지원으로 복구하겠다고 밝혔다. 구체적인 지급 기준과 일정은 공개하지 않았다.

복구에는 거래소와 지갑 서비스의 체인 전환도 필요하다. 자노 팀은 거래소·서비스와 잔액 회복 절차를 조율 중이며 이용자가 당장 취할 조치는 없다고 공지했다. MEXC는 공지에서 프로젝트 팀의 요청에 따라 ZANO와 FUSD 입출금을 일시 중단했다고 밝혔다.

이번 조치는 프라이버시 보호와 사후 감사 가능성이 충돌할 때 복구 범위가 커질 수 있음을 보여줬다. 자산 이동 경로를 구분하기 어려운 구조에서는 발행 이상을 처리하는 과정에서 정상 거래 기록까지 되돌릴 수 있다.