폴리네트워크 6억1100만달러 해킹과 해커의 전액 반환 사태

2021년 8월 10일 서로 다른 블록체인을 연결해주는 크로스체인 프로토콜 폴리네트워크가 스마트 컨트랙트의 취약점을 노린 공격을 받아 이더리움, 바이낸스스마트체인, 폴리곤 등 3개 블록체인에 걸쳐 총 6억1100만달러 상당의 각종 암호화폐가 탈취됐다. 공격자는 계약 간 자산 검증 로직의 허점을 파고들어 자신을 '키퍼(관리자)'로 등록시킨 뒤 잠긴 자산을 자신의 지갑으로 대량 이체하는 방식을 사용한 것으로 분석됐다. 이는 당시까지 발생한 디파이(탈중앙화금융) 해킹 중 최대 규모로, 기존 최대였던 코인체크·마운트곡스 사건에 필적하는 파장을 불러일으켰다. 사건 직후 폴리네트워크는 모든 관련 블록체인 프로젝트와 거래소에 탈취된 자산이 담긴 지갑 주소를 블랙리스트에 올려달라고 긴급 요청했다. 이 사건은 신생 디파이 생태계의 스마트 컨트랙트 보안 수준에 대한 업계 전반의 경각심을 크게 높이는 계기가 됐다.

해킹 발생 당일인 2021년 8월 10일 폴리네트워크 팀은 트위터와 블록체인 메시지를 통해 해커에게 보내는 공개서한을 발표하고, 이번 탈취 금액이 '역대 최대 규모의 디파이 해킹'이라며 자금을 돌려달라고 정중히 호소했다. 서한에서 팀은 탈취된 자금이 여러 블록체인 생태계에 걸쳐 있어 사실상 현금화가 매우 어렵다는 점을 지적하며, 해커가 법적 책임을 감수하기보다 자금을 반환하는 편이 합리적 선택이라는 점을 우회적으로 설득했다. 동시에 각국 법 집행기관과 협력해 수사에 나서겠다는 뜻도 함께 밝혀 압박 수위를 높였다. 이런 이례적으로 정중한 대응은 이후 해커와의 실제 소통으로 이어지는 발판이 됐다는 점에서 주목받았다. 업계에서는 이 서한이 결과적으로 자금 회수에 결정적 역할을 했다는 평가가 나왔다.

2021년 8월 11일 스테이블코인 발행사 테더는 이번 해킹으로 탈취된 자산 중 자사가 발행한 USDT 약 3300만달러어치를 자체 권한으로 동결 조치했다고 밝혔다. 이는 중앙화된 스테이블코인 발행사가 탈중앙화 해킹 사건에 직접 개입해 자금 흐름을 차단할 수 있음을 보여준 상징적 사례로, 탈중앙화 금융 생태계 내에서도 특정 자산은 여전히 중앙화된 통제점을 가지고 있다는 점을 부각시켰다. 이 조치로 해커가 실제로 손에 넣을 수 있는 자금 규모는 상당 부분 줄어들었으며, 이는 이후 협상 국면에서 해커가 전액 반환 쪽으로 기울게 된 요인 중 하나로 꼽혔다. 결과적으로 이 3300만달러는 사건이 마무리될 때까지 유일하게 돌려받지 못한 채 동결 상태로 남게 됐다. 테더의 발 빠른 대응은 이후 다른 스테이블코인 발행사들의 유사 사건 대응 모델이 됐다.

해킹 하루 만인 2021년 8월 11일 블록체인 보안업체 슬로우미스트는 해커의 이메일 주소와 접속 IP, 기기 지문 등 신원을 특정할 만한 단서를 확보했다고 공개적으로 발표했다. 이 발표가 나온 지 얼마 지나지 않아 해커는 예상을 깨고 탈취한 자산의 일부를 되돌려주기 시작했으며, 첫 반환분만으로도 약 2억5600만달러 상당에 달했다. 업계에서는 신원 추적 소식이 해커에게 상당한 심리적 압박으로 작용해 반환 결정을 앞당겼을 것이라는 분석이 나왔다. 해커는 반환된 자산에 비트코인 페그 토큰인 BTCB, 이더리움(ETH), 스테이블코인 BUSD 등 다양한 종류가 포함됐다고 확인시켜줬다. 이는 사상 최대 규모의 디파이 해킹이 사상 최단 시간에 자금 회수 국면으로 전환된 이례적인 사례로 기록됐다.

2021년 8월 12일 신원을 밝히지 않은 해커는 이더리움 트랜잭션에 메시지를 실어 보내는 독특한 방식으로 폴리네트워크 팀 및 대중과 일종의 '무엇이든 물어보세요(AMA)' 대화를 이어갔다. 해커는 이 메시지들을 통해 자신의 행위가 금전적 이득을 노린 것이 아니라 폴리네트워크 코드의 심각한 보안 취약점을 세상에 드러내기 위한 것이었다고 주장했으며, '재미로 한 일'이라는 취지의 설명도 덧붙였다. 그는 또한 탈취한 자산을 현금화할 계획이 애초부터 없었다고 강조하며, 프로젝트 팀과의 소통 과정에서 비교적 협조적인 태도를 보였다. 이 시점까지 해커는 약 2억5800만달러를 추가로 반환하며 신뢰를 쌓아갔다. 이런 이례적인 소통 방식은 이후 '화이트해커'라는 별칭이 붙는 배경이 됐다.

2021년 8월 17일 폴리네트워크는 해커에게 50만달러 상당의 버그바운티를 지급하고 회사의 '수석보안고문' 직책까지 맡아달라고 공식 제안하며, 그를 악의적 공격자가 아닌 '미스터 화이트햇(백기사)'으로 지칭했다. 이는 수억달러를 탈취한 해커에게 오히려 보상과 직책을 제안하는 극히 이례적인 대응으로, 해커가 그동안 보여온 협조적 태도와 자금 반환 의지를 신뢰한 결과였다. 해커는 그러나 같은 날 이 보너스 제안을 정중히 거절했으며, 이후 폴리네트워크는 그의 뜻에 따라 해당 자금을 보안 커뮤니티에 기부할 수 있도록 별도 계좌로 처리했다. 이 조치는 전통적인 범죄자-피해자 구도를 벗어나 크립토 업계 특유의 '책임 있는 공개(Responsible Disclosure)' 문화를 상징적으로 보여준 사례로 회자됐다. 이후 여러 매체가 이 이례적 대응을 디파이 업계의 새로운 위기 대응 모델로 소개했다.

2021년 8월 23일 해커는 그동안 보유하고 있던 마지막 자산에 접근할 수 있는 개인키를 온체인 메시지를 통해 공개하며, 남아 있던 약 1억4100만달러 상당의 자산까지 폴리네트워크 측에 넘겼다. 이로써 테더가 동결한 3300만달러 상당의 USDT를 제외한 나머지 탈취 자금 전액이 해킹 발생 15일 만에 모두 회수되는 결과로 마무리됐다. 이는 크립토 역사상 최대 규모의 단일 해킹 사건이 발생 직후 최단 기간에, 그것도 거의 전액이 자발적으로 반환된 유례없는 사례로 기록됐다. 업계 전문가들은 이번 사건을 계기로 온체인 추적 기술의 발전과 스테이블코인 발행사의 자금 동결 권한이 해커의 행동에 실질적 압박으로 작용할 수 있음이 입증됐다고 평가했다. 폴리네트워크는 이후 보안 감사를 대폭 강화하고 버그바운티 프로그램을 정식으로 운영하기 시작했다.

2023년 7월 2일 폴리네트워크는 또다시 공격을 받아 서비스를 긴급 중단해야 했다. 이번에는 공격자가 크로스체인 브릿지의 검증 로직에서 위조된 블록 헤더와 검증자 서명을 만들어내는 새로운 취약점을 악용해, 10개 이상의 서로 다른 블록체인에서 57종의 암호화폐 토큰을 무단으로 발행해냈다. 장부상으로는 무려 340억달러(약 42조원)에 달하는 토큰이 공격자의 지갑에 찍혀 나왔지만, 실제로는 대부분의 체인에 이만한 유동성이 존재하지 않아 실질적으로 현금화 가능한 피해액은 1000만달러 안팎에 그친 것으로 분석됐다. 이는 2021년 6억1100만달러 해킹 이후 약 2년 만에 벌어진 재발 사건으로, 폴리네트워크의 반복되는 크로스체인 브릿지 보안 취약점 문제를 다시금 드러냈다. 이 사건은 크로스체인 브릿지 구조 자체가 디파이 생태계에서 가장 공격에 취약한 지점 중 하나임을 재확인시켜준 사례로 남았다.