커뮤니티에서 주목받아온 에이다(ADA) 지갑 서비스인 ‘세컨드파이(SecondFi)’가 지난주 발생한 보안 침해로 인해 약 1610만 ADA(한화 약 35억 원, 약 24만 달러)의 자산을 탈취당하였고 결과적으로 서비스 종료를 결정하게 되었다. 이번 해킹 사건은 카르다노(Cardano) 생태계에서의 지갑 보안 문제를 다시 한 번 부각시키며, ‘거래 서명 구조’에서의 치명적인 취약성이 어떻게 사용자 자산의 유실로 이어질 수 있는지를 잘 보여주는 사례로 평가받고 있다.

해킹 공격의 방식은 세컨드파이의 트랜잭션 서명 소프트웨어에서 드러난 결함을 악용했으며, 공격자들은 374개의 지갑에서 총 1610만 ADA를 탈취하는 데 성공했다. 이 취약점은 블록체인에 기록된 거래 데이터만으로도 사용자 지갑의 ‘개인 키 일부’를 추론할 수 있는 구조적 결함이었는데, 이를 통해 공격자는 지갑에 접근할 수 있는 권한을 얻게 되었던 것이다. 다행히도 카르다노 블록체인 네트워크 자체는 침해되지 않았으며, 하드웨어 지갑 사용자들은 이번 공격의 영향을 받지 않았다.

사고 발생 직후 세컨드파이는 추가 피해를 방지하기 위해 약 1억2900만 ADA를 신속하게 확보하는 조치를 취했으나, 우려되는 보안 위험과 신뢰 훼손 문제로 인해 서비스는 정상 운영으로 복귀하지 않기로 결정했다. 이 서비스는 카르다노의 대표적인 지갑인 이뮤르고(EMURGO)의 ‘요로이(Yoroi)’ 지갑을 대체하기 위해 출범하였지만, 상황이 이처럼 악화되면서 이용자들로부터 신뢰를 잃는 치명적인 결과를 맞았다.

한편, 이뮤르고에 고용된 블록체인 분석 회사 ‘그룸 레이크(Groom Lake)’는 이번 공격이 고도로 조직화된 범죄 집단의 소행으로 보인다고 발표하였으며, 북한 해킹 조직인 ‘라자루스 그룹(Lazarus Group)’과의 연관성을 시사하고 있다. 그러나 현재까지 구체적인 공격자의 정체에 대한 공식적인 정보는 확인되지 않았다. 같은 기간에 또 다른 공격자가 다른 지갑 그룹을 조준한 정황도 발견되어, 이번 사건이 단순한 개별 해킹 사고가 아님을 보여준다.

세컨드파이는 오는 8월 초에 탈취된 지갑 자산을 외부로 이전할 수 있는 ‘내보내기(export) 도구’를 출시할 계획이며, 동시에 ‘영지식 증명(Zero-Knowledge)’ 기반의 복구 포털도 함께 공개할 예정이다. 이뮤르고 측은 자산 회수를 위한 별도의 지갑을 마련해 지원을 아끼지 않겠다고 하지만, 실제 피해 보상에 대한 시점은 아직 정해지지 않아 투자자들의 불안은 여전히 지속되고 있다.

이번 사건은 에이다(ADA)뿐만 아니라 카르다노 생태계 전반에 걸쳐 지갑 보안 리스크를 재인식시키는 계기가 되었다. 특히 사용자 단말이 아닌 ‘서명 로직’에서 발생한 취약점이라는 점에서 유사 서비스에 대한 점검 필요성 또한 커지고 있는 상황이다. 따라서 이러한 사건 이후, 하드웨어 지갑과 같은 물리적 보안 수단의 중요성을 더욱 강조하며, 신규 지갑 서비스 사용 시 리스크를 철저히 점검할 필요성이 제기되고 있다.