Verus–Ethereum 브리지가 약 두 달 만에 두 번째로 고갈되면서, 한 번 이미 악용된 취약점이 과연 제대로 수정되었는지에 대한 불편한 의문이 제기되고 있다. 보안 업체 Blockaid는 최신 Verus Ethereum 브리지 익스플로잇을 포착했으며, 공격자가 브리지의 import path를 악용해 이더리움 측에서 담보가 없는 지급을 발생시켜, ETH, tBTC, USDC, USDT, EURC, MKR, scrvUSD로 약 754만 달러 상당을 탈취했다고 확인했다. 탈취된 모든 자산은 이후 ETH로 전환되었다.
Summary
핵심 요약
- Verus–Ethereum 브리지는 두 달 이내에 두 번 공격을 받았으며, 최근 도난 규모는 약 754만 달러에 달한다.
- 두 공격 모두 동일한 브리지 import path와 동일한 취약점 유형을 악용해, 이더리움 측에서 담보 없는 지급을 유발했다.
- 5월 익스플로잇에서는 약 1,150만 달러가 유출되었고, 공격자는 이후 25% 화이트햇 바운티를 남기고 4,052.4 ETH를 반환했다.
- 회수된 자금은 7월 8일 브리지에 재예치되었고 — 그 직후 브리지는 다시 고갈되었다.
- Blockaid에 따르면, 최근 공격은 새로운 지갑을 사용한 다른 공격자에 의해 수행되었다.
두 달 이내에 Verus–Ethereum 브리지에 두 번째 익스플로잇 발생
이번 사건을 특히 두드러지게 만드는 것은 탈취 규모뿐 아니라, 그 시점과 작동 방식이다. 브리지는 5월 18일 익스플로잇에서 약 1,150만 달러가 유출된 뒤, 그 대부분의 자금을 최근에야 돌려받은 상태였다. 회수된 자산은 7월 8일 동일한 브리지에 재예치되었다. 불과 2주 만에 두 번째 공격자가 등장해 — 같은 컨트랙트, 같은 진입 경로, 같은 유형의 결함을 이용했다.
Blockaid에 따르면, 최근 공격자는 새로운 지갑에서 활동했으며 5월 사건과는 겉보기에는 아무런 연관이 없다. 두 익스플로잇을 연결하는 것은 공격자가 아니라, 기회를 제공한 구조적 약점이다. 이 약점은 어디를 봐야 하는지 아는 누구에게나 여전히 열려 있었다.
최근 754만 달러 탈취의 세부 내용
이번 익스플로잇은 이전과 동일한 기계적 논리를 따랐다. 공격자는 브리지의 import path를 조작해, Verus 측에서 제대로 담보되지 않은 청구에 대해 이더리움 측 브리지에서 실제 자산을 방출하도록 만들었다. 그 결과 ETH, 토큰화된 비트코인, USDC·USDT·EURC 등 여러 스테이블코인, 그리고 MKR과 scrvUSD에 이르는 다중 토큰이 유출되었고, 이 모든 자산은 빠르게 ETH로 통합되었다.
Blockaid는 실시간으로 공격을 포착하며, 이번에 악용된 취약점 유형이 5월에 사용된 것과 동일하다고 명시했다. 이 회사의 탐지는 동일한 브리지 컨트랙트와 동일한 진입 경로가 사용되었음을 지적하며, 두 사건에 걸쳐 지속된 결함이 존재했음을 보여준다.
5월 익스플로잇 및 공격자와의 비교
5월 사건은 순수 금액 기준으로 더 컸으며, 손실 규모는 약 1,150만 달러였다. 당시 탈취된 자산은 약 5,402.4 ETH로 전환되었다. 이후 전개는 크립토 보안 업계에서 이례적이었다. 공격자가 4,052.4 ETH를 반환하고, 취약점을 발견한 대가로 25% 화이트햇 바운티를 유지한 것이다. Verus 팀은 이 합의를 수용했고, 반환된 자금은 7월 8일 브리지에 다시 투입되었다.
이 결정은 지금 와서 보면 대가가 컸다. 패치되지 않은 시스템에 유동성을 다시 주입한 것은 사실상 표적을 초기화한 셈이었다. 두 번째 공격자는 — 다른 인물, 새로운 지갑이지만 동일한 전략으로 — 구조적 수정이 이루어지기 전에 존재했던 틈을 악용했으며, 이는 CoinDesk가 보도한 온체인 데이터에 의해 확인된다.
브리지 Import Path 취약점이 담보 없는 ETH 지급을 가능하게 해
핵심 결함은 개념적으로는 단순하지만, 실행되면 매우 위험하다. 두 익스플로잇 모두 브리지의 import path를 조작해, Verus 측에서 자산이 제대로 잠기지 않았음에도 이더리움 측에서 출금을 승인하도록 만들었기 때문에 가능했다. 브리지는 사실상 가치가 거의 없는 청구에 대해 실제 자금을 방출했다.
이러한 유형의 논리 결함은 — 코드가 설계된 대로 실행되지만, 그 규칙 자체가 자금 유출을 허용하는 경우 — 암호학적 붕괴와는 다르다. 어떤 암호도 깨지지 않았다. 시스템은 자체 내부 논리에 의해 속았다.
익스플로잇의 성격과 공통 취약점 유형
Blockaid는 두 공격이 동일한 취약점 유형을 공유한다고 확인했다. 이는 중요하다. 이 결함이 5월과 7월 사이에 패치되지 않았으며, 7월 8일 자금 재예치가 여전히 알려진, 문서화된 약점을 지닌 브리지를 다시 장전한 셈이기 때문이다.
크로스체인 인프라 전반에 대한 더 넓은 시사점도 무시하기 어렵다. 브리지의 안전성은 전적으로 검증 메커니즘의 무결성 — 한쪽에서의 모든 출금이 다른 쪽에 잠겨 있는 자산으로 실제로 뒷받침되는지를 확인하는 과정 — 에 달려 있다. 이 메커니즘에 알려진 결함이 존재하는 상태에서, 명확한 수정 없이 자금이 다시 투입된다면, 시스템은 회복된 것이 아니라 대기 상태에 놓인 것이다.
미해결 결함이 브리지 보안에 미치는 영향
CoinDesk가 DefiLlama 데이터를 인용한 바에 따르면, Verus는 2025년 초에 총 예치 자산(TVL) 약 1억 달러를 보유하고 있었다. 최신 익스플로잇 시점에는 이 수치가 약 900만 달러 수준으로 떨어졌으며, 두 차례 해킹으로 인해 완만하던 감소세가 급격히 가속되었다.
이 추세는 단순한 손실 규모를 넘어선 의미를 가진다. 각 익스플로잇은 탈취된 금액만 줄이는 것이 아니라, 유동성 공급자와 사용자에게 이 시스템이 안전하지 않을 수 있다는 신호를 보낸다. 신뢰의 유출은 자산의 유출을 가속한다.
복구 노력과 자금 재배치
5월 사건은 최근 크립토 보안 역사에서 보기 드문 결과를 낳았다. 브리지를 고갈시키고 자산을 약 5,402.4 ETH로 전환한 뒤, 공격자는 4,052.4 ETH를 반환하고 25%를 화이트햇 수수료로 유지했다. Verus 팀은 이 부분적 복구를 수용했고, 보안 연구자들이 정리한 온체인 기록에 따르면 반환된 자금은 7월 8일 브리지에 공식적으로 재예치되었다.
이러한 유형의 화이트햇 합의는 디파이에서 드문 일은 아니다. 법적 집행이 어렵고 공격자가 익명인 상황에서, 부분적인 복구를 위한 실용적인 경로를 제공한다. 그러나 여기에는 암묵적인 전제가 있다. 공격자가 식별한 취약점이, 회수된 자금이 시스템에 다시 투입되기 전에 해결될 것이라는 점이다.
이번 경우, 그 전제는 잘못된 것으로 보인다. 5월 도난을 가능하게 했던 동일한 진입 경로와 취약점 유형이 자금 재예치 이후에도 그대로 남아 있었고 — 두 번째, 무관한 공격자가 이를 2주 이내에 찾아낸 것이다.
이 사건이 이더리움 브리지 보안에 의미하는 것
Verus 사례는 크로스체인 인프라 전반에서 확대되고 있는 패턴을 극단적으로 보여준다. 최신 Verus 익스플로잇이 발생한 같은 날 6시간 동안, 최소 두 개의 다른 프로토콜도 별도의 사건에서 고갈되었으며, BlockAid와 Peckshield가 분석한 블록체인 데이터를 바탕으로 CoinDesk가 보도한 바에 따르면 전체 피해액은 3,500만 달러를 넘었다. 이들 공격 중 어느 것도 기초 암호 기술을 깨뜨린 것은 아니었다. 각각은 논리 결함이거나 권한 탈취 — 감사에서 간과될 수 있고, 누군가 적절한 지식을 갖고 행동할 때까지 조용히 남아 있는 취약점 범주였다.
Verus 사례는 더 어려운 교훈을 남긴다. 한 번의 익스플로잇에서 자금을 회수한 뒤, 패치되지 않은 시스템에 다시 투입하는 것은 보안을 회복하는 것이 아니다. 노출을 회복하는 것이다. 크로스체인 브리지를 평가하는 사용자와 유동성 공급자에게, 질문은 더 이상 브리지가 감사되었는지 여부에 그치지 않는다. 식별된 결함이 자본이 다시 유입되기 전에 검증 가능하게 수정되었는지가 핵심이다.
FAQ
Verus–Ethereum 브리지 익스플로잇의 원인은 무엇이었나요?
두 익스플로잇 모두 브리지의 import path를 악용해 동일한 취약점 유형으로 이더리움 측에서 담보 없는 지급을 유발했습니다. 브리지는 Verus 측에서 제대로 담보되지 않은 청구에 대해 실제 자산을 방출했습니다.
최근 Verus–Ethereum 브리지 익스플로잇에서 얼마나 도난당했나요?
ETH, tBTC, USDC, USDT, EURC, MKR, scrvUSD 등 다양한 토큰으로 약 754만 달러가 유출되었으며, 이후 모두 ETH로 전환되었습니다.
이전 해킹에서의 자금은 완전히 손실되었나요?
아니요. 5월 공격자는 25% 화이트햇 바운티를 유지한 뒤 4,052.4 ETH를 반환했습니다. 이 자금은 두 번째 익스플로잇이 발생하기 전에 7월 8일 브리지에 재예치되었습니다.
이번 익스플로잇은 이전과 같은 공격자가 수행했나요?
아니요. Blockaid에 따르면, 최근 공격은 5월 사건과 겉보기에는 아무런 연관이 없는 다른 공격자가 새로운 지갑을 사용해 수행했습니다.
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”Verus–Ethereum 브리지 익스플로잇의 원인은 무엇이었나요?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”두 익스플로잇 모두 브리지의 import path를 악용해 동일한 취약점 유형으로 이더리움 측에서 담보 없는 지급을 유발했습니다. 브리지는 Verus 측에서 제대로 담보되지 않은 청구에 대해 실제 자산을 방출했습니다.”}},{“@type”:”Question”,”name”:”최근 Verus–Ethereum 브리지 익스플로잇에서 얼마나 도난당했나요?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”ETH, tBTC, USDC, USDT, EURC, MKR, scrvUSD 등 다양한 토큰으로 약 754만 달러가 유출되었으며, 이후 모두 ETH로 전환되었습니다.”}},{“@type”:”Question”,”name”:”이전 해킹에서의 자금은 완전히 손실되었나요?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”아니요. 5월 공격자는 25% 화이트햇 바운티를 유지한 뒤 4,052.4 ETH를 반환했습니다. 이 자금은 두 번째 익스플로잇이 발생하기 전에 7월 8일 브리지에 재예치되었습니다.”}},{“@type”:”Question”,”name”:”이번 익스플로잇은 이전과 같은 공격자가 수행했나요?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”아니요. Blockaid에 따르면, 최근 공격은 5월 사건과 겉보기에는 아무런 연관이 없는 다른 공격자가 새로운 지갑을 사용해 수행했습니다.”}}]}
이 기사는 인공지능의 도움을 받아 제작되었으며, 편집팀의 검수를 거쳤습니다.
