코스모스, 고위험 패치 공개했지만 사전 통지 없어…해커가 먼저 프로젝트 금고 털어

지난 며칠간 코스모스 생태계에서 피할 수 있었던 '보안 참사'가 벌어졌다. MANTRA, TAC, KiiChain, Nesa 등 코스모스 EVM 모듈을 사용하는 블록체인들이 잇달아 공격을 받았고, 각 체인의 금고 지갑에 있던 프로토콜 준비금 토큰을 해커가 대량으로 탈취해 빠르게 매도하면서 KII, TAC, NES 등 토큰이 몇 시간 만에 90% 이상 폭락해 많은 보유자가 막대한 손실을 입었다.

처음에 시장은 이번 사고들의 공통점, 즉 모두 코스모스 계열 블록체인이라는 점에 주목하지 않았다. 암호화폐 시장에서 해커 공격은 이미 흔한 일이었기 때문이다. 하지만 어제가 되어서야 시장은 이번 사고들이 모두 코스모스 랩스가 8월 19일 GitHub에 공개한 v0.7.2 버전 업그레이드 코드에서 비롯됐다는 사실을 알아차렸다.

코스모스 랩스는 해당 GitHub 페이지에서 "이 버전에는 중요한 보안 수정 사항이 포함되어 있습니다. 모든 체인은 가능한 한 빨리 조율된 업그레이드를 통해 이 패치 버전으로 업그레이드할 것을 권장합니다. 이번 릴리스는 중대한 의미를 지닙니다."라고 적었다. 이 문구에서 드러나는 긴박한 어조는 해당 취약점의 심각성을 반영한다.

하지만 코스모스 랩스의 행동은 이해하기 어렵다. 그들은 보안 패치를 완전히 공개했으면서도 해당 모듈에 의존하는 각 프로젝트 팀에 사전 경고나 강제 업그레이드 통지를 보내지 않았다. 이는 금고 열쇠를 공공 광장에 걸어두고 '빨리 가져가세요'라고 표시한 것과 같아, 나쁜 의도를 가진 자에게 연구와 공격을 실행할 충분한 시간을 준 셈이다.

"공격자가 GitHub를 읽을 수 있다면, 다운스트림 팀에는 GitHub보다 나은 무언가가 필요합니다. 취약점은 항상 발생합니다. 기업 인프라의 평가 기준은 취약점 발생 후의 모든 것입니다. 누가 노출됐고, 누가 경고를 받았고, 누가 패치를 받았으며, 고객과 공격자 중 누가 먼저 움직였는지 말이죠. 코스모스 랩스의 완전한 사후 분석 보고서가 필요합니다. 하지만 이것은 미화할 수 없습니다. 조율 실패가 매우 심각했습니다."라고 개발자 @justde가 말했다.

공격을 받은 KiiChain도 글을 올려 코스모스 랩스의 무책임한 행동을 직접 비판하며 이번 사고가 "피할 수 있었다"고 밝혔다.

KiiChain은 코스모스 랩스가 금요일에 공지를 발표할 때 수정 프로그램을 이전에 비공개로 처리하던 무관한 문제들과 함께 묶어두었다고 말했다. 당시에는 심각한 취약점이 있어 자금이 영구적으로 손실될 수 있는 상황처럼 매우 긴급한 사안으로 다루지 않았고, 모든 체인을 일시 중지하라고 권고하지도 않았다.

KiiChain은 해당 취약점의 구체적인 공격 원리도 공개했다. 이 공격은 코스모스 EVM 모듈의 세 가지 업스트림 결함이 동시에 발생해야 성공한다. 스테이킹 프리컴파일 시 위임 후 잔액을 EVM에 다시 기록할 때 발생하는 언더플로와 아직 공개되지 않은 두 가지 취약점이 그것이다. KiiChain의 특정 코드는 이번 공격에 관여하지 않았다. 베스팅 계정을 활성화한 모든 코스모스 EVM 체인은 동일한 위험에 노출되어 있다.

더욱 안타까운 것은 이런 공격이 24일 밤까지도 계속됐다는 점이다. Nesa 프로젝트 팀은 즉시 공지를 발표하고 블록체인을 일시 중지하는 조치를 취했다. "L1에서 코스모스 EVM 취약점을 악용하는 악의적 행위를 발견했으며, 현재 영향을 억제하기 위한 조치를 취하고 있습니다. 신속하게 대응했으며, 소프트웨어 수정과 추가 개선 조치를 적용해 안전한 운영을 보장한 후 서비스를 다시 온라인으로 복구할 것입니다."

이때 Nesa 토큰은 이미 94% 이상 폭락해 이전 0.22달러에서 0.011달러로 떨어졌다. 이런 폭락에서 정상 운영을 회복할 수 있는 프로젝트는 극히 드물다.

하지만 해당 프로젝트 측은 여러 건의 코스모스 EVM 보안 사고가 발생하고 문제가 최소 이틀 동안 노출된 후에도 능동적으로 위험을 회피하는 조치를 취하지 않았다. 이는 해당 프로젝트 기술 팀의 위험 및 책임 의식이 심각하게 부족하다는 것을 보여준다.

가장 먼저 21일에 MANTRA는 사건의 근본 원인을 규명했으며, 이는 MANTRA 체인의 코스모스 EVM 모듈에만 국한된다고 공개적으로 밝혔다.

논의가 확산되면서 코스모스 랩스의 공개 대응 성명이 뒤늦게 나왔다. "진행 중인 보안 사고가 코스모스 EVM 모듈 사용자에게 영향을 미쳤습니다. 코스모스 랩스의 보안 및 엔지니어링 팀이 이 사건에 능동적으로 대응하고 있습니다. 저희에게 연락한 코스모스 EVM 체인에 검증자에게 체인을 일시 중지하도록 요청할 것을 권고했습니다."

하지만 이미 너무 늦었다. 각계의 비판과 실망이 소셜 미디어를 가득 채웠다. "그들은 수십 개 체인이 의존하는 공유 EVM 모듈을 유지 관리하지만, 중요한 프리컴파일 취약점이 발생했을 때 주 채널에 패치를 능동적으로 배포하지 않았고, 명확한 PoC도, 조율된 배포 지침도 없었습니다. 이 체인들은 여러분 코드의 다운스트림입니다. 여러분의 일은 보안 패치와 바로 배포 가능한 PoC를 신속하게 릴리스하여 전체 생태계가 깨끗하게 업그레이드할 수 있도록 하는 것입니다. 그런데 우리가 받은 것은 업스트림의 조용한 파괴뿐이었고, 각 팀은 홀로 고군분투해야 했습니다."라고 개발자 @justde가 말했다.

RootData 데이터에 따르면 현재 코스모스 토큰 ATOM의 시가총액은 여전히 8억 달러로 전체 토큰 중 68위이지만, 최고점 대비 95% 이상 하락했다.

생태계 발전도 지난 몇 년간 계속해서 타격을 입었다. 최근 반년 동안 Neutron, Mars Protocol, Pryzm, Leap Wallet, Cosmostation 등 코스모스 생태계 프로젝트들이 스스로 운영 중단을 선언했고, Secret Network, Noble 등 프로젝트는 코스모스 생태계를 포기하고 자체 Layer1을 구축하거나 이더리움 생태계로 이전하기로 결정했다.

이번 연쇄 도난 사건은 의심할 여지 없이 코스모스의 기반 코드 보안 감사, 크로스체인 조율 메커니즘, 비상 대응 체계의 심층적인 결함을 다시 한번 부각시켰다.

보안 취약점 자체는 피하기 어려울 수 있지만, "패치를 공개하고도 다운스트림에 알리지 않는" 터무니없는 논리와 여러 "임시방편" 같은 행태는 모든 빌더의 마음을 서늘하게 만들기에 충분하다.