UPCX 블록체인 결제 플랫폼 7000만 달러 해킹 사건

블록체인 보안업체 사이버스(Cyvers)는 4월 1일 블록체인 결제 프로젝트 UPCX의 핵심 스마트컨트랙트에서 이상 거래 패턴을 포착했다고 밝혔다. 공격자는 UPCX 관리 권한을 가진 특정 주소를 탈취해 프록시어드민(ProxyAdmin) 컨트랙트를 악성 버전으로 업그레이드한 것으로 분석됐다. 이 과정에서 개인 키 탈취가 유력한 침투 경로로 지목됐다. 사이버스는 탈취된 자금이 새 지갑 주소로 이동하는 것을 실시간으로 추적해 즉시 경보를 발령했다. 이 발견은 UPCX가 사고를 공식 인지하고 대응에 나서는 계기가 됐다.

공격자는 탈취한 관리자 권한을 이용해 컨트랙트에 내장된 withdrawByAdmin 인출 함수를 실행, 세 곳의 관리 계정에서 UPC 토큰 1840만 개를 빼돌렸다. 당시 시세로 약 7000만 달러에 달하는 규모로, 2025년 3월 한 달간 전체 해킹 피해액인 3300만 달러를 단숨에 넘어서는 수준이었다. 탈취 자금은 즉시 매도되지 않고 새 지갑에 보관돼 자금세탁 시도가 진행 중인 것으로 관측됐다. 보안 전문가들은 이번 공격이 스마트컨트랙트 취약점이 아니라 관리자 키 유출에서 비롯된 전형적인 '휴먼 팩터' 사고라고 지적했다. 이는 프로젝트 측의 키 관리 체계에 근본적 결함이 있었음을 시사한다.

UPCX는 4월 2일 공식 성명을 통해 해킹 피해 사실을 인정하고 모든 입출금 기능을 즉시 중단한다고 발표했다. 회사는 탈취된 자금이 프로젝트 자체 관리 계정에서 빠져나간 것이며 일반 이용자 개인 지갑의 자산은 영향을 받지 않았다고 설명했다. 그러나 갑작스러운 서비스 중단으로 다수의 이용자들이 자산 인출에 어려움을 겪으며 커뮤니티의 불신이 커졌다. UPCX는 외부 보안 감사기관과 협력해 사고 원인을 조사하고 재발 방지 대책을 마련하겠다고 약속했다. 이 발표 이후에도 서비스 정상화 시점은 명확히 제시되지 않았다.

해킹 소식이 전해지자 UPC 토큰 가격은 3월 24일 기록한 사상 최고가 5.27달러에서 가파르게 미끄러지기 시작했다. 사고 직후 하루 만에 5% 넘게 하락했고, 이후 며칠 사이 최저 1.42달러까지 곤두박질치며 고점 대비 70% 이상 증발했다. 투자자들은 프로젝트의 보안 신뢰도에 의문을 제기하며 패닉셀에 나섰고, 거래량은 급증했지만 유동성은 오히려 악화됐다. 일부 거래소는 UPC 거래에 대한 주의 경고를 별도로 게시했다. 가격 폭락은 이후에도 회복되지 못하고 장기간 부진한 흐름을 이어갔다.

블록체인 보안 분석 결과 UPCX 해킹은 2025년 상반기 발생한 단일 해킹 사고 중 최대 피해 규모로 집계됐다. 국내 암호화폐 전문매체도 2025년 한 해 동안 해킹으로 인한 암호화폐 업계 전체 피해액이 17억 달러에 달했으며 그중 UPCX 사고가 가장 컸다고 보도했다. 4월 한 달간 디파이 플랫폼에서만 9200만 달러가 탈취된 것으로 집계돼 UPCX 피해가 그 대부분을 차지한 것으로 나타났다. 이는 전년 대비 4배 가까이 늘어난 수치로, 관리자 권한 탈취형 공격이 업계 전반의 새로운 위협으로 부상했음을 보여줬다. 업계는 프록시 컨트랙트 관리 체계에 대한 표준 보안 가이드라인 마련의 필요성을 제기했다.

사고 발생 이후 열흘이 넘도록 탈취된 자금 대부분은 매도되지 않은 채 특정 지갑에 머물러 있는 것으로 확인됐다. 보안업계는 공격자가 자금 추적을 피하기 위해 즉각적인 현금화 대신 자금세탁 경로를 물색 중인 것으로 분석했다. 시장 전문가들은 만약 탈취 자금이 대량으로 매도될 경우 UPC 가격에 추가 충격이 불가피할 것이라며 우려를 나타냈다. UPCX 측은 법 집행기관 및 체인분석 업체와 공조해 자금 동결과 회수를 시도하고 있다고 밝혔지만 구체적 성과는 확인되지 않았다. 이런 불확실성은 프로젝트에 대한 투자 심리를 계속 위축시켰다.

사고 한 달이 지난 시점까지도 UPC 토큰은 게이트아이오(Gate.io), MEXC 등 일부 거래소에서만 제한된 유동성으로 거래됐다. 탈취된 자금 회수나 관련자 수사에 대한 공식적인 진전 소식은 나오지 않았고, 프로젝트 측의 후속 대응도 초기 성명 이후 뚜렷하지 않았다는 지적이 이어졌다. 커뮤니티 일각에서는 프로젝트 신뢰도 회복을 위한 재감사와 거버넌스 개편을 요구했다. 보안 전문가들은 이번 사고를 계기로 디파이·결제 플랫폼들이 다중서명(멀티시그)과 콜드월렛 기반 관리자 키 보안을 강화해야 한다고 재차 강조했다. UPCX 사건은 관리자 권한 탈취형 공격의 대표 사례로 계속 언급되고 있다.