화이트햇 해커, 10년 된 ICO 계약 결함에서 1,003 ETH 회수

익명의 보안 연구원이 2016년 홍코인(Hong Coin) ICO 스마트 계약에서 환불 함수 버그로 약 10년간 투자자 자금이 묶여 있던 약 1,003 이더(ETH, 약 200만 달러 상당)를 회수했다.

"해당 계약은 모든 투자자의 ETH를 보유하고 있었고 자동으로 환불해주도록 설계되었습니다. 그러나 환불 함수의 버그로 인해 그 과정이 조용히 깨졌고, 자금이 갇히게 되었습니다." 회수를 실행한 화이트햇 해커 0xflorent가 일요일 X(트위터) 게시글에서 밝혔다.

홍코인 ICO는 2016년 8월 29일부터 10월 28일까지 진행되었으며, 탈중앙화 자율 조직(DAO)이 운영하는 커뮤니티 주도 벤처 캐피탈 펀드의 일환으로 5개 단계에 걸쳐 2억 5,000만 개의 HONG 토큰을 제공했다. 프로젝트가 목표 모금액에 도달하지 못하자, 스마트 계약은 48명의 투자자에게 자동으로 참여금을 반환하도록 설계되었다. 그러나 환불 메커니즘의 결함 — 관리자 함수의 정수 오버플로우(integer overflow) 취약점 — 으로 인해 해당 환불이 처리되지 못했고, 이더는 온체인에 그대로 묶여 있었다.

이번 회수 작업은 원본 홍코인 팀과의 협력을 필요로 했다. 0xflorent는 정수 오버플로우 버그가 있는 관리자 함수가 특정 입력값으로 호출될 때 토큰 보유자의 잔액을 초기화하여 환불 확인을 차단 해제할 수 있다는 점을 식별했다. 해당 함수는 팀의 멀티시그니처 지갑의 승인이 필요했기 때문에, 0xflorent는 개발자들에게 연락해 테스트 네트워크에서 수정 사항을 검증했고, 팀은 41건의 트랜잭션을 승인했다 — 이는 잔액 조정이 필요한 각 영향을 받은 투자자별 한 건씩이었다. 7명의 투자자는 우회 조치 없이 직접 환불을 받을 수 있을 만큼 소액을 보유하고 있었다.

Etherscan의 온체인 데이터는 투자자들에게 환불이 시작되었음을 확인해준다. 한 참여자는 현재 가격 기준 약 192,500달러 상당인 96 ETH를 받았고, 다른 한 명은 0.5 ETH를 환불받았다. 두 투자자 모두 자발적으로 0xflorent에게 화이트햇 보상을 지급했으나, 어떠한 대가도 요구되지 않았다. "수수료도, 수수료율도, 커미션도 없었습니다."라고 0xflorent는 말했다.

홍코인 회수 사례는 고립된 경우가 아니다. 5월 24일, 0xflorent는 두 개의 별도 레거시 계약 — 2018년 1월의 실패한 ICO와 만료된 크로스체인 원자 스왑(atomic swap)에서 자금이 묶였던 Liquality Wallet 사용자의 자금 — 에서 19.33 ETH를 회수했다고 보고했다. 연구원은 자신의 이더리움 노드를 배포하고 100 ETH 이상을 보유한 계약을 식별하는 스캐닝 도구를 구축한 후, 익스플로잇 가능한 취약점이 있는지 후보들을 체계적으로 검토했다고 밝혔다. 그는 계약을 분류하고 정리하는 데 Claude Code를 활용했지만, AI 플랫폼이 스마트 계약 보안 결함을 직접 분석하는 데는 한계가 있다고 언급했다.

이번 사건은 ICO 시대에 구축된 스마트 계약에 내재된 잠재적 위험을 강조한다. 많은 계약이 정수 오버플로우 취약점에 대한 SafeMath와 같은 안전장치가 부족했던 구버전의 Solidity로 개발되었다. 블록체인 기록은 영구적이지만, 코드 수준의 결함을 식별하고 악용하지 않으면 잠긴 자산에 접근하는 것은 여전히 불가능할 수 있다. 이 사례는 책임 있는 시정 조치의 모델을 보여준다: 적대적 익스플로잇이 아닌, 원 개발자들과 협력한 화이트햇 개입이 광범위한 생태계를 불안정하게 만들지 않으면서 묶인 가치를 해제할 수 있다는 점이다.

암호화폐 업계에서 홍코인 회수 사례는 유사한 휴면 계약이 얼마나 많은 자금을 여전히 붙잡고 있는지, 그리고 소급 회수 작업을 어떤 기준으로 규율해야 하는지에 대한 실질적인 의문을 제기한다. 0xflorent는 더 많은 보안 연구자들이 이 길을 추구하기를 희망한다고 밝혔다. "도덕적으로도 더 보람 있고, 경제적으로도 좋은 수익이 될 수 있습니다."라고 그는 말했다.

본 기사는 정보 제공 목적으로만 작성되었으며 투자 조언을 구성하지 않습니다.