토르체인(THORChain) 노드 조작 1080만 달러 해킹 사태

공격자는 2026년 5월 15일 해킹이 발생하기 이틀 전인 5월 13일경 토르체인 네트워크에 신규 노드 운영자로 가입한 것으로 확인됐다. 토르체인은 여러 노드 운영자가 공동으로 자금을 관리하는 임계서명 방식을 사용하는데, 공격자는 정상적인 검증 절차를 통과해 네트워크에 편입됐다. 보안업체들은 이 짧은 활동 기간에도 불구하고 공격자가 사전에 치밀하게 공격을 설계했을 가능성이 크다고 분석했다. 이는 이후 발생한 대규모 자금 탈취 사건의 사전 정황으로 뒤늦게 파악됐다. 토르체인 커뮤니티는 이 사건을 계기로 노드 신규 가입 심사 절차의 허점을 지적하기 시작했다.

2026년 5월 15일 신규 가입한 악성 노드 운영자가 서명 절차 과정에서 키 조각을 유출시켜 토르체인 아스가르드(Asgard) 볼트의 개인키를 재구성하는 데 성공했다. 이를 통해 공격자는 비트코인, 이더리움, 바이낸스스마트체인, 베이스 등 최소 4개 이상의 블록체인에서 총 1080만 달러 상당의 자산을 무단으로 인출했다. 피해 자산에는 도지코인, 라이트코인, 비트코인캐시, 리플 등도 포함된 것으로 추가 파악됐다. 이는 임계서명 방식인 GG20 TSS의 구조적 결함을 악용한 공격으로 분석됐다. 토르체인은 사건 인지 직후 전체 거래와 서명 기능을 긴급 중단했다.

해킹 소식이 알려지면서 토르체인의 기축 토큰인 RUNE 가격은 단 몇 분 만에 0.58달러에서 0.50달러 수준으로 최대 15% 급락했다. 토르체인 운영진은 추가 피해를 막기 위해 네트워크의 모든 거래와 서명 기능을 즉각 중단하는 긴급조치를 발표했다. 크로스체인 스와프를 이용하던 이용자들은 자산이 묶이는 등 약 13시간 동안 서비스 이용에 차질을 겪었다. 시장에서는 이번 사고가 탈중앙화 크로스체인 프로토콜의 보안 신뢰도에 다시 한 번 타격을 줄 것이라는 우려가 나왔다. 토르체인은 이번이 세 번째로 겪는 대형 보안 사고라는 점에서 비판이 거셌다.

온체인 수사관 잭XBT(ZachXBT)와 보안업체 펙실드(PeckShield)는 2026년 5월 16일 각각 소셜미디어를 통해 토르체인에서 발생한 이상 자금 유출을 가장 먼저 포착해 공개했다. 이들은 공격자의 지갑 주소를 추적해 탈취된 자금의 규모와 이동 경로를 실시간으로 공유했다. 체이널리시스도 이날 성명을 통해 탈취된 자금이 아직 특정 지갑에 머물러 있는 정지 상태임을 확인했다고 밝혔다. 다만 체이널리시스는 공격자가 이미 여러 체인과 파생상품 거래소, 프라이버시 프로토콜을 넘나들며 자금을 세탁할 수 있는 기술적 역량을 보여준 만큼 상황이 언제든 바뀔 수 있다고 경고했다. 이 공개 덕분에 토르체인 팀은 공격 경로를 빠르게 특정할 수 있었다.

토르체인 개발팀은 2026년 5월 16일 공식 성명을 통해 이번 해킹이 악성 노드 운영자가 서명 절차에서 GG20 임계서명 방식의 결함을 악용해 발생했다고 공식 확인했다. 팀은 해당 취약점이 노드 운영자 간 통신 과정에서 키 조각이 유출될 수 있는 구조적 문제에서 비롯됐다고 설명했다. 토르체인은 즉시 해당 결함에 대한 패치 작업에 착수했다고 밝히며 재발 방지를 약속했다. 이번 사고는 토르체인이 과거에도 여러 차례 보안 사고를 겪었던 전례와 맞물려 프로토콜의 근본적 설계에 대한 의문을 키웠다. 커뮤니티에서는 GG20 방식 자체를 폐기해야 한다는 목소리도 나왔다.

토르체인은 2026년 5월 19일 손실을 보전하고 네트워크를 재가동하기 위한 복구 제안 ADR-028을 공식 발표했다. 이 제안은 우선 프로토콜 자체 보유 유동성으로 손실을 흡수하고, 남은 손실은 신스 보유자들에게 분산 부담시키는 방식을 골자로 했다. 토르체인은 새로운 토큰 발행 없이 기존 유동성만으로 피해를 충당하겠다는 원칙을 세웠다. 아울러 공격자가 탈취 자금을 반환할 경우 탈취액의 10%를 보상금으로 지급하겠다는 해커 바운티 방안도 함께 제시했다. 이 제안은 이후 노드 운영자들의 거버넌스 투표에 부쳐졌다.

토르체인 노드 운영자들은 2026년 5월 22일부터 ADR-028 복구안의 채택 여부를 결정하는 거버넌스 투표를 시작했다. 이 투표는 네트워크 재가동 시점과 손실 분담 방식을 최종적으로 확정하기 위한 절차로, 토르체인 생태계 참여자들의 큰 관심을 모았다. 투표와 별도로 토르체인 팀은 GG20 취약점에 대한 패치를 완료했다고 발표하며 재가동을 위한 기술적 준비를 병행했다. 커뮤니티 내에서는 신속한 재가동을 요구하는 목소리와 근본적 구조 개편이 먼저라는 목소리가 엇갈렸다. 이 투표 결과는 이후 네트워크 재가동 일정에 직접적인 영향을 미쳤다.

토르체인은 해킹 발생 약 5주 만인 2026년 6월 19일경 전체 거래와 서명 기능을 공식적으로 재개했다. 이는 ADR-028 복구안이 노드 운영자들의 승인을 받은 데 따른 조치로, 프로토콜은 새 토큰 발행 없이 자체 유동성으로 손실을 흡수하는 방식을 최종 적용했다. 탈취된 자금 자체는 회수되지 못한 채 공격자의 지갑에 남아 있는 것으로 파악됐으며, 10% 바운티 제안에도 공격자는 응하지 않았다. 이번 사건은 2026년 한 해 동안 발생한 대형 디파이 해킹 중 하나로 기록되며 크로스체인 브릿지의 보안 위험성을 다시 부각시켰다. 토르체인은 재가동 이후 GG20 방식을 대체할 새로운 서명 체계 도입을 논의하고 있다고 밝혔다.