크로노스, 테크토닉 해킹 7500만달러 피해에 전체 네트워크 멈췄다…토닉 100배 폭등

크립토닷컴(Crypto.com) 산하 블록체인 크로노스(Cronos)가 8월30일(현지시각) 일요일, 대출 프로토콜 테크토닉(Tectonic)을 겨냥한 해킹 공격으로 네트워크 전체를 정지시켰다. 온체인 연구자 웨일린 리(Weilin Li)는 피해 규모를 약 7,500만달러(약 1,034억원, 1,378원 기준)로 추산했다. 공격자는 테크토닉의 거버넌스 토큰 토닉(TONIC) 가격을 20분 만에 100배 가까이 끌어올린 뒤 이를 담보로 다른 자산을 빌려 빼돌렸다. 크로노스는 “테크토닉에서 익스플로잇을 확인했다. 네트워크를 정지했으며 이후 소식을 전하겠다”고 밝혔고, 테크토닉은 이용자들에게 프로토콜과의 상호작용을 자제하고 토큰 승인(승인)을 철회하라고 권고했다. 크립토닷컴 최고경영자(CEO) 크리스 마르잘렉(Kris Marszalek)은 자사 앱과 거래소는 영향을 받지 않았으며 이용자 자금은 안전하다고 밝혔다.

TONIC 담보인정비율 20%가 부른 “망고마켓식” 가격조작

테크토닉은 이용자가 암호화폐를 예치해 다른 이용자에게 담보 대비 대출을 내주고 이자를 받는 프로토콜이다. 크로노스에 가장 먼저 출시된 대출 서비스로, 네트워크 DeFi(탈중앙 금융) 예치금의 절반 가까이를 차지할 정도로 규모가 컸다.

공격의 핵심은 테크토닉 자체 거버넌스 토큰인 토닉이었다. 토닉에는 담보인정비율(collateral factor) 20%가 적용돼 있었다. 100달러어치 토닉을 담보로 인정받으면 20달러까지 다른 자산을 빌릴 수 있는 구조다. 문제는 유동성이었다. 공격 전 토닉의 유동성은 약 134만달러, 하루 거래량은 약 1만1,000달러에 불과해 적은 자금으로도 가격을 크게 흔들 수 있는 상태였다.

온체인 데이터에 따르면 공격자는 약 20분 만에 토닉 가격을 100배 가까이 끌어올렸다. 부풀려진 토닉을 담보로 예치한 뒤, 이를 근거로 훨씬 가치 있는 자산을 빌려 빼돌리는 방식이었다. 웨일린 리는 이를 “망고마켓식(Mango-market style) 펌프 앤 보로(pump-and-borrow) 가격조작 공격”이라고 표현했다. 2022년 10월 발생한 1억달러(약 1,378억원) 규모의 망고마켓(Mango Markets) 해킹을 가리킨 표현이다.

피해 추산 6,600만→7,500만달러로 늘어…6,000만달러는 크로노스에 갇혀

리는 처음에는 피해 규모를 약 6,600만달러(약 909억원)로 추산했다. 이후 공격자가 통제하는 것으로 보이는 또 다른 주소에서 약 800만달러(약 110억원)가 추가로 발견되면서 추정치를 약 7,500만달러로 올려 잡았다. 보안업체 펙실드(PeckShield)도 비슷한 규모인 약 7,400만달러(약 1,020억원) 피해를 추산했다.

펙실드에 따르면 공격자는 네트워크가 정지되기 전 약 600만달러(약 83억원)만 이더리움으로 브리지(bridge, 체인 간 자산 이동)하는 데 성공했다. 나머지 약 6,000만달러(약 827억원)는 크로노스 안에 그대로 묶여 있다. 리는 탈취 자금 일부가 탈중앙화거래소(DEX) 풀에 예치됐다며, 블랙리스트 등록을 피하기 위한 시도로 보인다고 설명했다. 실제로 크로노스 내 최대 DEX는 같은 24시간 동안 예치금이 약 6,100만달러(약 841억원) 늘어난 반면, 체인 전체 DeFi 예치금은 22% 줄었다.

예치금 절반 차지하던 테크토닉, TVL 1억2170만달러→300만달러로 붕괴

디파이라마(DefiLlama) 집계에 따르면 테크토닉은 8월26일(현지시각) 기준 총예치금(TVL) 약 1억2,170만달러(약 1,678억원)를 보유해 크로노스 DeFi 전체 예치금의 절반 가까이를 차지했다. 사고 직전 활성 대출 규모도 약 8,270만달러(약 1,140억원)에 달했다. 그러나 월요일(8월31일, 현지시각) 기준 TVL은 약 300만달러(약 41억원)로 폭락했다. 크로노스에서 두 번째로 큰 대출 프로토콜인 미마스파이낸스(Mimas Finance)의 예치금이 약 3만달러에 불과하다는 점과 비교하면 테크토닉의 존재감이 얼마나 컸는지 드러난다.

별도의 온체인 분석에서는 탈취 자금이 아닌 풀에서 빠져나간 총유출액을 약 1억1,950만달러(약 1,647억원)로 집계하기도 했다. 공격자의 실제 수익과는 별개로, 프로토콜 풀 전체에서 그만큼의 자금이 이동했다는 의미다.

디파이라마는 테크토닉에서 과거에도 두 차례 사고가 있었다고 기록했다. 2024년 2월에는 약 25만달러 규모의 프로토콜 로직 오류가 있었고, 같은 해 11월에도 한 차례 사고가 발생했다. 이번 사고는 앞선 두 사례와 달리 스팟 가격 조작을 통한 오라클(oracle, 외부 데이터 연동) 조작으로 분류됐고, 피해 규모도 7,500만달러로 훨씬 컸다.

검증인 100개뿐인 크로노스, 전면 셧다운이 가능했던 이유

크로노스는 최대 100개 검증인(validator)만으로 운영되는 구조다. 검증인 수가 적은 만큼 참여자들이 빠르게 합의해 네트워크 전체를 멈추는 결정을 내릴 수 있었다. 이런 방식은 2022년 10월 브리지 해킹 당시 검증인들이 블록체인을 일시 정지하고 약 5억7,000만달러(약 7,855억원) 탈취 자금 중 약 4억7,000만달러(약 6,477억원)를 회수한 BNB체인(BNB Chain)의 대응과 닮아 있다.

다만 전면 정지의 대가도 있다. 테크토닉과 무관한 이용자들의 대출, 거래, 정산, 자동화 포지션까지 모두 함께 멈췄다. 크립토닷컴 CEO 크리스 마르잘렉은 자사 앱과 거래소는 정상 운영되고 있으며 고객 자금은 안전하다고 밝히고, 사후 보고서(postmortem)를 내겠다고 했다. 테크토닉 측도 “이용자 보안이 최우선 과제”라며 “조사가 진행되는 동안 컨트랙트에 부여한 토큰 승인을 철회해 달라”고 요청했다.

리는 이번 사고를 최근 몇 주 사이 발생한 세 번째 “망고마켓식” 공격으로 꼽았다. 앞서 문웰(Moonwell)에서는 유동성이 얇은 마모(MAMO) 토큰을 조작한 공격으로 약 870만달러 피해가 발생했고, 8월25일(현지시각)에는 펜들(Pendle)의 reUSD 시장에서 약 3,600만달러 규모의 청산이 발생했다. 크로노스와 테크토닉은 월요일 오전 기준 재가동 일정이나 최종 피해액을 공식적으로 확정하지 않았다.