최근 UXLINK는 멀티시그(Multi-sig) 지갑의 보안 취약점을 악용한 해킹 공격으로 약 1,570억 원의 피해를 입었다. 이 공격에서 해커는 단 한 번의 ‘delegateCall’을 통해 관리 권한을 탈취하고, 프로젝트 자금을 유출하는 데 성공했다.
해커는 탈취한 자금을 빠르게 여러 스왑과 브릿지를 통해 세탁하기 시작했으며, 블록체인 보안업체 Cyvers가 이 사건을 최초로 감지하고 위험 거래를 분석했다. 해킹으로 탈취된 자산은 약 4백만 달러(약 55억 6,000만 원) 상당의 테더(USDT), 50만 달러(약 6억 9,500만 원)의 USD코인(USDC), 3.7개의 래핑 비트코인(WBTC), 그리고 25 ETH로 구성되어 있었다. 해커는 이 자산 중 일부를 다이(DAI)로 변경하고, 또 일부는 이더리움(ETH)으로 전환하여 아비트럼 네트워크로 송금했다.
이후 새로운 주소로 약 3백만 달러(약 41억 7,000만 원)어치의 UXLINK 토큰을 수령했으며, 이 중 상당 부분은 이미 시장에 유통된 것으로 파악됐다. 이에 UXLINK 측은 공식 채널을 통해 멀티시그 지갑 내 보안 결함을 인정하고, 외부 보안 전문가 및 법적 기관과 협조하여 사건의 확산 방지에 나섰다. 주요 거래소들과도 협력하여 의심 계정을 동결하는 조치를 취하고 있다.
그러나 해커는 여전히 수익을 올리기 위해 지속적으로 UXLINK 토큰을 발행했다. 보안 플랫폼 PeckShield의 보고에 따르면, 아비트럼 네트워크에서 약 10억에서 20억 개의 신규 토큰이 생성되었으며, 그중 약 4억 9,000만 개는 이미 중앙화 거래소(CEX)와 탈중앙화 거래소(DEX)에 유입되어 판매됐다. 이러한 사실로 인해 UXLINK의 가격은 0.30달러에서 0.09달러로 급락하며, 이는 약 977억 원의 시가총액 손실을 초래했다.
특히, 업비트는 약 500만에서 700만 달러(약 69억 5,000만 원에서 97억 3,000만 원)에 해당하는 자산을 동결한 것으로 알려졌다. 하지만 해커가 ETH로 전환한 자산 중 약 6,732 ETH는 여전히 해커의 주소에 남아 있는 상황이다. 아이러니하게도, 해킹 그룹은 이후 ‘인페르노 드레이너(Inferno Drainer)’ 사기 팀에 의해 다시 공격을 당해 탈취한 UXLINK 토큰 중 약 5억 4,200만 개를 도난당하는 일이 벌어졌다.
UXLINK 측은 토큰 생태계를 복원하고 피해자들을 보상하기 위한 토큰 스왑 계획을 발표했으며, 구체적인 진행 절차는 추후 공식 채널을 통해 안내할 예정이다. 이번 사건은 멀티시그 지갑 보안의 중요성을 다시금 일깨워주는 계기가 되고 있다.
