솔라나 기반 Aquifer서 약 250만 달러 탈취

솔라나 기반 Aquifer서 약 250만달러 탈취

솔라나 기반 자동화 마켓메이커 AMM인 Aquifer가 지갑 탈취 사고로 약 250만달러 규모의 자산을 잃었다. 현재까지 공개된 온체인 정보와 관련 보도에 따르면 이번 사건은 8월 31일 발생했으며, 공격자는 Aquifer와 연결된 지갑에 접근한 뒤 솔라나와 이더리움 등 여러 네트워크에서 자금을 이동시킨 것으로 파악됐다.

초기 조사에서는 Aquifer 스마트컨트랙트 자체의 취약점보다는 프로토콜과 관련된 지갑 접근 권한이 탈취됐을 가능성에 초점이 맞춰지고 있다. 공격자는 솔라나와 이더리움 양쪽에서 주소를 운영했으며 여러 Aquifer 관련 주소에 접근한 정황도 보고됐다.

다만 지갑이 어떤 방식으로 탈취됐는지는 아직 공개적으로 확정되지 않았다. 개인키가 외부로 유출됐는지, 관리자 권한 또는 다른 인증 정보가 노출됐는지에 대한 기술적 분석 결과도 아직 나오지 않았다. 스마트컨트랙트 코드의 직접적인 취약점이 이용됐다는 사실 역시 현재까지 확인되지 않았다.

이번 사고 규모는 약 250만달러로 집계되고 있다. 블록체인 보안 모니터링 자료에서도 같은 규모의 손실이 보고됐으며, 공격자와 연결된 주소가 솔라나와 이더리움 양쪽에서 확인됐다. 멀티체인 주소 사용이 단순 자금 이동을 위한 것인지 공격 단계부터 여러 네트워크를 함께 이용한 것인지는 아직 구체적으로 공개되지 않았다.

Aquifer 공격자에게 20% 화이트햇 보상 제안

Aquifer는 공격 이후 온체인 메시지를 통해 공격자에게 자금 반환 조건을 제시했다. Aquifer의 솔라나 업그레이드 권한으로 승인된 메시지에 따르면 프로젝트 측은 탈취된 자산 또는 이에 상응하는 가치의 최소 80%를 지정된 복구 주소로 반환할 것을 요구했다.

반환 기한은 2026년 9월 3일 오후 2시 UTC로 설정됐다. 조건을 충족하면 공격자는 탈취 자산의 최대 20%를 화이트햇 보상금으로 보유할 수 있다.

Aquifer는 공격자가 해당 조건을 완전히 이행할 경우 이번 사건과 관련한 민사상 청구를 제기하지 않겠다는 내용도 온체인 메시지에 포함했다. 다만 해당 합의가 법 집행기관이나 규제기관, 제재 당국 등 정부기관의 조치를 구속하지 않는다는 내용도 함께 명시했다.

프로젝트 측은 솔라나와 이더리움 각각에 복구용 주소를 지정했으며 공격자가 이더리움 트랜잭션의 입력 데이터를 이용해 응답할 수 있는 별도 통신 주소도 공개했다. 이에 따라 현재 자금 회수 여부는 공격자가 9월 3일까지 제안을 받아들이는지에 달려 있는 상태다.

공격자에게 전달된 메시지에는 사건과 관련된 솔라나 주소와 이더리움 주소가 각각 명시됐다. Aquifer 측은 해당 주소들을 통제하는 당사자를 대상으로 제안을 전달했다고 밝혔다.

정확한 침해 경로는 아직 조사 중

현재 공개된 정보에서 가장 중요한 부분은 스마트컨트랙트 공격 여부와 지갑 권한 탈취 여부다. 초기 분석에서는 프로토콜 코드 자체를 이용한 공격보다는 Aquifer 운영과 연결된 지갑의 인증 정보가 노출됐을 가능성이 제기되고 있다.

공격자가 여러 프로토콜 관련 주소에 접근했다는 정황 때문에 단일 이용자 지갑이 아니라 프로젝트 운영과 관련된 개인키 또는 관리자 권한이 영향을 받았을 가능성도 거론되고 있다. 다만 Aquifer가 기술적 사후 분석 보고서를 아직 공개하지 않은 만큼 구체적인 침해 지점과 공격 과정은 확정되지 않았다.

이번 사건과 관련해 약 250만달러의 손실 규모와 솔라나 및 이더리움에서 공격자 주소가 확인됐다는 점, Aquifer가 온체인을 통해 화이트햇 조건을 제안했다는 사실은 공개 자료에서 확인되고 있다. 반면 최초 침입 방식과 실제로 탈취된 인증 정보의 종류, 공격자가 어떤 순서로 관련 지갑에 접근했는지 등 세부 기술 내용은 아직 공개되지 않았다.

자금 회수 결과도 아직 확정되지 않았다. 공격자가 탈취 자산의 최소 80%를 반환하면 최대 20%를 보상으로 남길 수 있으며 Aquifer가 제시한 반환 시한은 9월 3일 오후 2시 UTC다. 현재까지 확인된 손실 규모는 약 250만달러다.