Across, 웹사이트 도메인 통제권 회복…피해 전액 보상 약속

크로스체인 프로토콜 Across는 11월 11일 보안 사고로 탈취당했던 웹사이트 도메인의 통제권을 되찾고 정상 운영을 재개했다고 밝혔다. 또한 피해를 본 이용자에게 손실액 전액을 보상하고, 향후 며칠 내에 사고 경위와 대응 내용을 담은 상세 보고서를 공개하겠다고 약속했다.

이번 사고는 스마트 콘트랙트 외부에도 보안 위험이 존재한다는 사실을 보여준다. 탈중앙화 프로토콜의 기반 시스템이 정상적으로 작동하더라도, 이용자가 프로토콜에 접속할 때 사용하는 웹사이트가 공격 경로로 악용될 수 있기 때문이다.

도메인은 어떻게 탈취됐나

Across에 따르면 공격자는 도메인 등록업체인 Namecheap을 상대로 사회공학적 수법을 사용해 도메인의 통제권을 확보했다. 사회공학적 공격은 소프트웨어 취약점에만 의존하는 대신 사람의 심리나 조직의 업무 절차를 노린다.

도메인이 무단으로 장악된 동안 보안 대응팀 SEAL 911은 해당 도메인을 피싱 사이트로 표시하는 데 도움을 줬다. 이러한 경고는 추가 피해를 막는 데 기여할 수 있지만, Across가 도메인을 되찾은 이후에도 일부 지갑과 브라우저에는 한동안 경고가 계속 표시될 수 있다. Across 측은 관련 경고가 조만간 해제될 것으로 예상한다고 밝혔다.

Across의 발표는 웹사이트 도메인에 관한 것으로, 프로토콜의 스마트 콘트랙트까지 침해됐다는 의미는 아니다. 사고를 평가할 때는 이 둘을 구분해야 한다. 다만, 조작된 웹사이트가 이용자를 유도해 피해를 초래할 수 있는 거래를 승인하게 만들 가능성은 여전히 존재한다.

피해 이용자가 확인해야 할 사항

Across는 피해 전액 보상을 약속했지만, 이용자는 보상 대상과 청구 절차가 공개되면 공식 인증된 소통 채널을 통해 세부 내용을 확인해야 한다. 추후 발표될 사고 분석 보고서를 통해 공격 방식과 피해 규모도 더욱 명확해질 것으로 보인다.

사고 발생 당시 해당 사이트를 이용한 경우에는 다음과 같은 예방 조치를 취할 수 있다.

• 최근 거래 내역과 토큰 승인 권한을 확인해야 한다. 본인이 알지 못하는 활동이나 권한이 있는지 살펴보고, 의심스러운 승인은 신뢰할 수 있는 도구를 이용해 철회해야 한다. 이때 사용하는 도구의 주소도 반드시 정확한지 확인해야 한다.
• 보상 관련 메시지를 주의해야 한다. 공격자는 공개된 보안 사고를 악용해 가짜 환불 사이트나 고객 지원 계정을 만들 수 있다. 보상금을 받기 위해 복구 구문을 입력하라는 요구에는 절대 응해서는 안 된다.
• 서명하기 전에 지갑에 표시되는 요청을 꼼꼼히 확인해야 한다. 토큰 사용 권한 승인이나 거래 서명 요청도 자금 이체 요청과 마찬가지로 세심하게 검토해야 한다.
• 브라우저와 지갑의 보안 경고를 가볍게 넘겨서는 안 된다. 도메인이 복구된 뒤에도 보안 경고가 남아 있을 수 있지만, 예상치 못한 경고가 표시된다면 일단 작업을 중단하고 독립적인 경로를 통해 상황을 확인해야 한다.

복구 구문이나 개인 키가 노출됐을 가능성이 있다고 판단되는 이용자는 해당 지갑이 이미 침해된 것으로 간주해야 한다. 남은 자산을 새로 만든 지갑으로 옮기면 추가 손실을 줄이는 데 도움이 될 수 있다. 다만 전송 전 목적지 주소를 신중하게 확인하고, 필요하다면 신뢰할 수 있는 전문가나 기관의 도움을 받아야 한다.

DeFi에서 도메인 보안이 중요한 이유

크로스체인 서비스는 온체인 코드만으로 운영되지 않는다. 이용자는 웹사이트와 도메인 네임 인프라, 지갑 인터페이스, 제3자 서비스 등 다양한 요소를 거쳐 프로토콜과 상호작용한다. 이 가운데 어느 한 계층이라도 취약하면 프로토콜 자체가 정상적으로 가동 중이더라도 이용 과정 전반의 안전성이 훼손될 수 있다.

하드웨어 지갑은 개인 키가 웹사이트에 직접 노출되는 것을 막는 데 도움이 되지만, 이용자가 승인하는 모든 거래가 안전한지까지 판단해 주지는 못한다. 따라서 거래 대상 주소와 토큰 권한, 세부 거래 내용을 직접 확인하는 절차가 필수적이며, 보안 사고가 보고된 직후에는 더욱 각별한 주의가 필요하다.

Across 사례는 보안 사고 복구가 여러 단계로 이루어진다는 점을 일깨워 준다. 웹사이트 통제권을 되찾는 것뿐 아니라 이용자에게 상황을 명확히 알리고, 보안 경고 문제를 해결하며, 피해 이용자에 대한 보상 방안을 구체적으로 설명해야 한다. 사고 보고서가 공개되기 전까지는 공격의 전체 범위나 구체적인 수법을 섣불리 단정하지 않는 것이 바람직하다.