클레이스왑 BGP 하이재킹 해킹 사건

2022년 2월 3일 오전 공격자들은 국내 특정 호스팅 사업자의 IP 대역을 가로채는 BGP 하이재킹 공격을 감행했다. BGP 하이재킹은 인터넷 경로 정보를 조작해 정상 서버인 것처럼 위장하는 고난도 네트워크 공격이다. 공격자들은 이를 통해 카카오를 사칭하며 트래픽을 자신들이 통제하는 서버로 우회시켰다. 클레이스왑이 불러오는 카카오 SDK 자바스크립트 파일이 표적이 됐다. 이용자들은 정상 서비스에 접속한 것으로 알았지만 실제로는 조작된 코드를 내려받고 있었다.

공격자들은 카카오 SDK 자바스크립트 파일을 악성 버전으로 바꿔치기해 클레이스왑에 삽입했다. 조작된 파일은 이용자가 거래를 시작하면 자산을 공격자가 통제하는 지갑으로 빼돌리도록 설계됐다. 이용자가 정상적으로 스왑이나 예치를 시도하는 순간 자금이 탈취되는 구조였다. 겉으로는 평소와 같은 화면이었기 때문에 피해자들은 이상을 알아채기 어려웠다. 지능적인 수법으로 인해 실시간 대응이 늦어졌다.

공격은 2월 3일 오전 정오 무렵부터 약 두 시간 동안 집중적으로 이뤄졌다. 이 사이 공격자는 여러 종류의 가상자산 약 22억원(약 190만 달러) 상당을 탈취했다. 피해는 325개 고객 지갑에서 발생한 407건의 비정상 거래로 집계됐다. 짧은 시간에 다수 이용자의 자산이 순식간에 빠져나갔다. 탈중앙 거래소 이용자들이 네트워크 계층 공격에 그대로 노출된 사례였다.

공격자들은 탐지를 피하기 위해 정교한 필터링 시스템을 적용했다. 카카오 SDK 자바스크립트 파일을 사용하는 다른 사이트에는 경고가 뜨지 않도록, 오직 클레이스왑 이용자에게만 악성 버전을 전달하도록 했다. 이를 통해 광범위한 이상 징후 노출을 최소화했다. 목표를 클레이스왑으로 한정해 공격 지속 시간을 벌었다. 이후 공격자들은 스스로 BGP 하이재킹을 중단하며 흔적을 지웠다.

클레이스왑을 운영하는 국내 블록체인 기업 오지스(Ozys)는 이상 거래를 인지한 뒤 서비스를 긴급 중단했다. 오지스는 카카오 SDK가 외부 공격으로 변조됐음을 확인하고 피해 규모 파악에 나섰다. 회사 측은 이용자에게 사고 사실을 공지하고 추가 피해 방지를 안내했다. 오지스는 자체 취약점이 아니라 네트워크 경로 조작에 의한 공격이었다고 설명했다. 그러나 이용자 자산이 실제로 탈취된 만큼 책임과 보상 문제가 뒤따랐다.

이번 사건은 보안 업계에서 웹의 근본적 취약점을 악용한 대표 사례로 분석됐다. BGP 하이재킹은 인터넷 라우팅 신뢰 구조 자체를 노린 공격이라 개별 서비스가 방어하기 어렵다. 전문가들은 암호화폐 서비스가 이런 네트워크 계층 공격의 표적이 되고 있다고 경고했다. 국내외 보안 기관들이 사고 분석 보고서를 잇따라 발표했다. 외부에서 불러오는 스크립트에 대한 무결성 검증의 중요성이 강조됐다.

사고 이후 오지스는 피해 이용자에 대한 보상과 재발 방지 대책 마련에 나섰다. 외부 스크립트 무결성 검증(SRI) 강화와 인프라 보안 점검이 과제로 제시됐다. 이용자들은 탈중앙 서비스라도 프런트엔드가 중앙화된 웹 인프라에 의존한다는 한계를 절감했다. 사건은 디파이(DeFi) 이용 시 네트워크·웹 보안 리스크를 함께 고려해야 한다는 교훈을 남겼다. 국산 블록체인 생태계 신뢰에도 적지 않은 타격을 줬다.

클레이스왑 사건은 프린스턴대 등 해외 연구기관에서도 분석 대상이 됐다. 연구자들은 공격자가 웹 보안의 근본적 결함을 악용해 약 200만 달러 상당의 암호화폐를 훔쳤다고 정리했다. 이 사건은 비슷한 시기 발생한 다른 암호화폐 대상 BGP 하이재킹 사례들과 함께 인용됐다. 네트워크 인프라를 겨냥한 신종 암호화폐 탈취 수법의 대표 사례로 자리 잡았다. 이후 라우팅 보안 강화 논의가 업계 전반으로 확산됐다.