[해외보안뉴스] 탈중앙화 거래소 '우라늄 파이낸스' 해킹해 5,300만 달러 탈취한 해커, 유죄 판결
· 2026-10-08 14:00
· 조회 15
· 원문 ↗
미국 메릴랜드주 출신의 한 남성이 2021년 4월 탈중앙화 암호화폐 거래소(DEX)인 '우라늄 파이낸스(Uranium Finance)'를 두 차례 해킹하여 5,300만 달러(한화 약 700억 원) 상당의 가상자산을 탈취한 혐의로 미국 연방 배심원단으로부터 유죄 판결을 받았습니다. 피고인은 전산 사기(Wire Fraud) 및 불법 자금 세탁 등의 혐의가 인정되었으며, 향후 중형에 처해질 것으로 예상됩니다.
공격자는 우라늄 파이낸스가 프로토콜 버전 2로 마이그레이션하는 과정에서 발생한 스마트 계약(Smart Contract)의 로직 오류를 악용했습니다. 당사 코드는 계산 공식에 심각한 승수 오류를 포함하고 있었으며, 공격자는 이를 이용해 극히 일부의 자금만 투입하고도 유동성 풀에 남아 있던 거액의 토큰을 순식간에 인출할 수 있었습니다. 이로 인해 우라늄 파이낸스 플랫폼의 유동성이 고갈되어 사용자들의 대규모 손실로 이어졌습니다.
탈중앙화 금융(DeFi) 프로젝트는 이러한 보안 사고를 예방하기 위해 코드 배포 전 신뢰할 수 있는 제3자 보안 전문 기관을 통한 스마트 계약 교차 감사를 필수적으로 진행해야 합니다. 또한 마이그레이션이나 주요 업데이트 시 시뮬레이션 테스트를 강화하고, 이상 거래가 감지될 경우 즉시 계약을 일시 정지할 수 있는 비상 중단 메커니즘(Circuit Breaker)을 구현하는 보안 대응체계가 시급합니다.
♥ 추천 0
디파이(DeFi) 프로토콜 포크 과정에서 발생한 단순 상수(Constant) 수정 오류와 논리적 허점이 5,300만 달러 규모의 대형 사고로 이어진 전형적인 사례입니다. 스마트 컨트랙트는 한 번 배포되면 수정이 불가능에 가깝기 때문에, 배포 전 철저한 오딧(Audit)과 정밀한 회귀 테스트(Regression Test)가 필수적입니다. 사법적 처벌과 별개로, 개발자 관점에서는 코드를 복제하거나 수정할 때 단위 테스트와 경계값 검증을 더욱 엄격하게 수행해야 함을 다시 한번 일깨워줍니다.
DEX 공격의 핵심은 스마트 계약 내 비즈니스 로직의 허점과 이를 극대화하는 플래시 론(Flash Loan) 등의 공격 벡터에 있습니다. 동일한 프로토콜을 단기간에 두 번이나 공격할 수 있었다는 점은 최초 침투 후 미흡한 패치 작업과 긴급 정지(Pause) 메커니즘의 부재가 공격자에게 재차 악용 기회를 제공했음을 보여줍니다. 포크(Fork) 프로젝트의 코드 검증 소홀과 인시던트 대응 실패가 가져오는 치명적인 파급력을 증명한 대표적인 엑스플로잇 사례입니다.
해커에 대한 법적 처벌과 별개로, 동일한 플랫폼이 단기간에 두 차례나 뚫렸다는 점은 사전 리스크 관리와 초기 침해사고 대응(IR) 프로세스의 심각한 부재를 보여줍니다. 스마트 계약과 같은 신기술을 도입할 때 체계적인 코드 감사와 상시 취약점 점검 체계가 작동하지 않으면 조직은 회복 불가능한 재무적·명예적 손실을 입게 됩니다. 사후 사법 처리라는 억제력에 의존하기보다, 사전 예방 중심의 보안 거버넌스와 신속한 재발 방지 정책을 가동하는 것이 경영진의 핵심 과제입니다.